MacOS原生Cocoa应用实现Facebook登录（HTTP重定向）技术问询

我刚好折腾过Mac上用HTTP重定向实现Facebook登录的需求，官方确实没给现成的Mac示例，但其实可以基于OAuth 2.0标准流程搞定，甚至能改造你提到的AppAuth库来适配，给你分享具体思路：

核心思路：用Facebook的OAuth 2.0授权码流程 #

Facebook其实完全支持标准的OAuth 2.0授权码流程，只是官方文档侧重移动端和Web，桌面应用的配置需要注意几个点：

1. 开发者后台配置

   • 登录Facebook开发者平台，给你的应用添加「桌面应用」平台（在「设置>基本」里的「平台」选项添加）
   • 到「产品>Facebook登录>设置」里，把你的自定义URL Scheme（比如fb{你的AppID}://callback）添加到「有效的OAuth重定向URI」列表中
   • 确保你的AppID和AppSecret都正确记录下来

2. 构造授权请求URL
   手动拼接或者用库构造授权URL，核心参数如下：

   https://www.facebook.com/v18.0/dialog/oauth?
   client_id=你的AppID
   &redirect_uri=fb你的AppID://callback
   &response_type=code
   &scope=public_profile,email
   &state=随机字符串（防CSRF）
   &display=popup
   

   这里的display=popup是为了适配Mac上的窗口显示，避免加载完整的Facebook网页。

3. 在Mac应用中加载授权页面并监听回调

   • 可以用SFSafariViewController（Catalina及以上系统支持）或者NSWebView/WKWebView来加载这个授权URL，弹出一个窗口让用户登录授权
   • 在你的AppDelegate（或者SwiftUI的onOpenURL回调）中实现URL Scheme的处理：当用户授权完成后，Facebook会跳转到你设置的redirect_uri，你的应用会收到这个URL，从中提取code参数（授权码）

4. 换取Access Token
   拿到授权码后，向Facebook的Token端点发送POST请求：

   POST https://graph.facebook.com/v18.0/oauth/access_token
   参数：
   client_id=你的AppID
   &client_secret=你的AppSecret
   &redirect_uri=fb你的AppID://callback
   &code=刚才拿到的授权码
   

   成功请求后会返回access_token，之后就可以用这个Token调用Facebook Graph API获取用户信息了（比如GET https://graph.facebook.com/me?fields=id,name,email&access_token=你的Token）

改造AppAuth-iOS适配Facebook #

你提到的AppAuth-iOS其实可以直接适配Facebook，不需要完全重写，只需要调整配置：

• 创建自定义的OIDServiceConfiguration，指定Facebook的授权和Token端点：

  let configuration = OIDServiceConfiguration(
      authorizationEndpoint: URL(string: "https://www.facebook.com/v18.0/dialog/oauth")!,
      tokenEndpoint: URL(string: "https://graph.facebook.com/v18.0/oauth/access_token")!
  )
  

• 构造授权请求：

  let redirectURI = URL(string: "fb你的AppID://callback")!
  let request = OIDAuthorizationRequest(
      configuration: configuration,
      clientId: "你的AppID",
      scopes: ["public_profile", "email"],
      redirectURL: redirectURI,
      responseType: OIDResponseTypeCode,
      additionalParameters: ["display": "popup", "state": "随机字符串"]
  )
  

• 用OIDAuthorizationService发起请求，监听回调，AppAuth会自动帮你处理授权码换取Token的流程，你只需要在回调中处理返回的Token即可

关键注意事项 #

• 一定要在Facebook开发者后台正确配置URL Scheme和重定向URI，否则授权后会提示“无效的重定向URI”
• 处理URL回调时，要验证state参数和你发起请求时的一致，防止CSRF攻击
• 注意Facebook的API版本，尽量使用最新的稳定版本（比如v18.0），避免端点过时
• 如果是SwiftUI应用，记得用.onOpenURL修饰符来捕获回调URL，传递给AppAuth或者自己处理

内容的提问来源于stack exchange，提问作者a k