如何安全传递Facebook登录获取的用户ID至PHP查询MySQL数据

别直接把前端拿到的用户ID丢给PHP！前端的任何数据都能被轻易篡改——比如用户随便改个请求参数，就能拿到别人的数据，这绝对是个大安全漏洞。正确的做法是让PHP直接和Facebook做身份验证，拿到完全可信的用户ID，而不是依赖前端传的值。

下面是具体的实现步骤：

1. 前端只传Access Token，不传用户ID #

Facebook JS SDK登录成功后，你能拿到的不只是用户ID，还有一个accessToken——这个才是核心凭证。我们要把这个token传给PHP，而不是直接传ID：

FB.login(function(response) {
  if (response.status === 'connected') {
    // 获取Facebook返回的access token
    const accessToken = response.authResponse.accessToken;
    
    // 用POST请求把token传给你的PHP后端
    fetch('fetch_user_data.php', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/x-www-form-urlencoded',
      },
      body: `access_token=${encodeURIComponent(accessToken)}`
    })
    .then(res => res.json())
    .then(userData => {
      // 处理后端返回的用户数据
      console.log(userData);
    })
    .catch(err => console.error('请求出错:', err));
  }
}, { scope: 'public_profile' }); // 按需添加需要的权限

2. PHP端验证Token，获取可信的用户ID #

PHP拿到token后，要主动向Facebook的Graph API发起请求，验证这个token的有效性并获取真实的用户ID。这样拿到的ID是Facebook直接返回的，绝对无法被用户篡改：

<?php
header('Content-Type: application/json');

if ($_SERVER['REQUEST_METHOD'] !== 'POST' || !isset($_POST['access_token'])) {
  echo json_encode(['error' => '无效的请求']);
  exit;
}

$accessToken = trim($_POST['access_token']);

// 调用Facebook Graph API，获取用户基本信息（只拿ID即可）
$graphApiUrl = "https://graph.facebook.com/me?access_token={$accessToken}&fields=id";
$response = file_get_contents($graphApiUrl);
$userInfo = json_decode($response, true);

// 检查API返回是否正常
if (!isset($userInfo['id'])) {
  echo json_encode(['error' => '无效的Access Token']);
  exit;
}

// 现在$trustedUserId是完全可信的Facebook用户ID
$trustedUserId = $userInfo['id'];

// 用这个ID查询数据库——一定要用预处理语句防SQL注入！
try {
  $pdo = new PDO(
    'mysql:host=你的数据库地址;dbname=你的数据库名',
    '数据库用户名',
    '数据库密码',
    [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]
  );

  $stmt = $pdo->prepare("SELECT * FROM some_table WHERE user_id = ?");
  $stmt->execute([$trustedUserId]);
  $userRecord = $stmt->fetch(PDO::FETCH_ASSOC);

  echo json_encode($userRecord ?: ['message' => '未找到用户数据']);
} catch (PDOException $e) {
  echo json_encode(['error' => '数据库查询失败: ' . $e->getMessage()]);
}
?>

几个必须注意的安全点 #

• 绝对不要信任前端传的用户ID：哪怕你在前端做了再多校验，用户都能通过修改HTTP请求或者JS代码篡改ID，直接用的话会导致越权访问。
• 强制使用预处理语句：就算拿到了可信的ID，查询数据库时也必须用PDO/mysqli的预处理语句，杜绝SQL注入风险。
• 每次请求都验证Token：Facebook的Access Token会过期，也可能被用户主动撤销，所以每次后端处理请求时都要重新验证，不要缓存旧的用户ID。
• 可选：使用长期Token：如果需要保持用户的登录状态，可以通过Facebook的API把短期Token换成长期Token，存在服务器端的Session或者数据库里，后续请求直接用这个长期Token验证即可。

内容的提问来源于stack exchange，提问作者allanth