React Native/Expo应用中@tfbnw.net邮箱登录是否存在风险？

别担心，这种情况完全是正常现象，根本不属于恶意行为。@tfbnw.net确实是Facebook官方给测试用户分配的专属域名，下面给你拆解下为啥会出现不是你自己生成的测试用户登录：

• 第三方测试或自动化验证：很多开发者、QA团队，甚至是自动化测试服务，都会用Facebook的测试用户机制来验证集成了FB登录的应用。哪怕不是你创建的测试用户，也可能因为这些原因访问你的应用：
  • 第三方测试平台在批量验证登录流程时扫到了你的公开应用
  • 其他开发者在测试类似FB登录集成时，误将你的应用作为测试对象（如果你的应用处于公开可访问状态）
• Facebook内部兼容性测试：Facebook会定期对集成了其登录服务的应用做自动化兼容性检查，确保登录流程能正常工作。这类测试用的就是官方测试用户，邮箱后缀自然是@tfbnw.net
• 极个别用户侧场景：虽然非常少见，但有些用户可能通过Facebook的测试环境或者特殊账号体系关联到这类邮箱，但这种情况占比极低，大部分还是来自各类测试场景

给你的小建议 #

• 先监控这类测试用户的行为，如果只是正常完成登录流程，没有频繁请求、违规操作等异常表现，完全不用理会
• 如果担心非授权测试干扰，可以在Facebook开发者后台调整应用的访问权限：比如限制仅你自己创建的测试用户能访问，或者设置IP白名单
• 另外，记得保持Graph API请求的最小权限原则，只获取必要的用户信息（比如你需要的邮箱），既符合Facebook的隐私政策，也能减少不必要的风险

内容的提问来源于stack exchange，提问作者Steven Shadman