如何在Node.js后端校验Facebook登录获取的access token

你完全可以沿用Google登录时「前端传token后端校验」的逻辑，不需要使用passport-facebook的网页跳转OAuth流程，该流程适配的是网页端授权场景，你在React Native端已经拿到access token的场景下，直接调用Facebook官方token校验接口完成鉴权即可。

• 按照react-native-fbsdk-next官方文档完成安卓、iOS原生端配置，填入你在Facebook开发者后台注册的应用ID、相关配置项
• 登录逻辑示例代码：

import { LoginManager, AccessToken } from 'react-native-fbsdk-next';

const handleFacebookLogin = async () => {
  // 申请需要的用户权限，按需调整
  const loginResult = await LoginManager.logInWithPermissions(['public_profile', 'email']);
  if (loginResult.isCancelled) return;

  // 获取登录后的access token
  const tokenData = await AccessToken.getCurrentAccessToken();
  if (!tokenData?.accessToken) return;
  const fbAccessToken = tokenData.accessToken.toString();

  // 将token发送到Node后端校验接口
  const authResponse = await fetch('你的后端服务地址/api/facebook-auth', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ access_token: fbAccessToken })
  });
  const result = await authResponse.json();
  // 校验通过后存储后端返回的业务登录态，比如JWT到本地即可
};

直接调用Facebook官方的debug_token接口完成token合法性校验，无需引入passport相关依赖，逻辑示例基于Express框架：

• 提前准备你在Facebook开发者后台的应用ID、应用密钥，拼接成应用访问令牌，格式为{应用ID}|{应用密钥}，该凭证仅可在后端存储使用，绝对不能泄露到前端
• 校验接口代码示例：

const express = require('express');
const axios = require('axios');
const jwt = require('jsonwebtoken');
const User = require('./你的用户数据模型路径'); // 替换为你自己的数据库用户模型
const router = express.Router();

// 配置项，替换为你自己的参数
const FACEBOOK_APP_ID = '你的Facebook应用ID';
const FACEBOOK_APP_SECRET = '你的Facebook应用密钥';
const APP_ACCESS_TOKEN = `${FACEBOOK_APP_ID}|${FACEBOOK_APP_SECRET}`;
const JWT_SECRET = '你自己的JWT加密密钥';

router.post('/facebook-auth', async (req, res) => {
  try {
    const { access_token } = req.body;
    // 调用Facebook接口校验token合法性
    const debugResult = await axios.get('https://graph.facebook.com/debug_token', {
      params: {
        input_token: access_token,
        access_token: APP_ACCESS_TOKEN
      }
    });
    const tokenValidInfo = debugResult.data.data;
    // 校验token状态、所属应用是否匹配，避免恶意攻击
    if (!tokenValidInfo.is_valid || tokenValidInfo.app_id !== FACEBOOK_APP_ID) {
      return res.status(401).json({ msg: '无效的登录凭证' });
    }

    // 校验通过后获取用户公开信息
    const userInfoResult = await axios.get('https://graph.facebook.com/me', {
      params: {
        fields: 'id,name,email,picture.type(large)',
        access_token: access_token
      }
    });
    const fbUserInfo = userInfoResult.data;

    // 检查数据库中是否存在该用户，没有则自动注册
    let user = await User.findOne({ facebook_id: fbUserInfo.id });
    if (!user) {
      user = await User.create({
        facebook_id: fbUserInfo.id,
        name: fbUserInfo.name,
        email: fbUserInfo.email || null,
        avatar: fbUserInfo.picture.data.url
      });
    }

    // 生成业务侧登录态返回前端
    const businessToken = jwt.sign({ userId: user._id }, JWT_SECRET, { expiresIn: '7d' });
    return res.json({ token: businessToken, userInfo: user });
  } catch (error) {
    console.error('Facebook登录校验失败', error);
    return res.status(500).json({ msg: '登录失败，请稍后重试' });
  }
});

module.exports = router;

• 若需要获取用户邮箱等非公开权限，需要先在Facebook开发者后台提交权限申请，测试阶段可直接使用测试账号、开发者账号测试
• 应用未正式上线前，只有你添加到开发者后台的测试账号可以正常登录，上线前需要完成Facebook的应用审核，才能开放给所有用户使用
• 校验逻辑中必须比对返回的app_id是否和你的应用ID一致，避免第三方使用其他应用的token伪造登录

内容的提问来源于stack exchange，提问作者Bhaskar Joshi