如何在Xamarin.Forms中管理Facebook登录以避免频繁认证

我之前做Facebook集成的时候也碰到过这个头疼的问题，用户每次重启都要重新登录确实很影响体验，给你几个经过实践验证的解决方案：

核心问题是你现在没有把获取到的token保存下来，重启应用后内存里的token就没了，所以必须把token和它的过期时间持久化到本地安全存储中。

移动端示例代码 #

Android（用SharedPreferences，建议配合加密）

// 登录成功后保存Token和过期时间
SharedPreferences authPrefs = getSharedPreferences("FacebookAuth", MODE_PRIVATE);
authPrefs.edit()
    .putString("access_token", facebookAccessToken.getToken())
    .putLong("expiry_time", facebookAccessToken.getExpires())
    .apply();

// 应用启动时检查Token有效性
String savedToken = authPrefs.getString("access_token", null);
long expiry = authPrefs.getLong("expiry_time", 0);
if (savedToken != null && System.currentTimeMillis() < expiry) {
    // 直接复用Token，跳过登录流程
    AccessToken.setCurrentAccessToken(new AccessToken(savedToken, "your_app_id", "user_id", null, null, null, null, null));
    // 继续调用相册/图片接口
} else {
    // 触发登录流程
}

iOS（用Keychain，更安全）

// 保存Token到Keychain
func saveFBToken(_ token: String) {
    let query: [String: Any] = [
        kSecClass as String: kSecClassGenericPassword,
        kSecAttrAccount as String: "FB_Access_Token",
        kSecValueData as String: token.data(using: .utf8)!
    ]
    SecItemAdd(query as CFDictionary, nil)
}

// 启动时读取Token
func getFBToken() -> String? {
    var query: [String: Any] = [
        kSecClass as String: kSecClassGenericPassword,
        kSecAttrAccount as String: "FB_Access_Token",
        kSecReturnData as String: kCFBooleanTrue!,
        kSecMatchLimit as String: kSecMatchLimitOne
    ]
    var data: AnyObject?
    let status = SecItemCopyMatching(query as CFDictionary, &data)
    if status == errSecSuccess, let tokenData = data as? Data {
        return String(data: tokenData, encoding: .utf8)
    }
    return nil
}

Facebook默认返回的是短期Token（有效期1-2小时），你可以把它换成长期Token（有效期60天），之后还能通过长期Token自动续期，完全不用用户操作。

步骤： #

1. 登录成功拿到短期Token后，调用Facebook的换Token接口：

GET /oauth/access_token?
    client_id=你的APP_ID
    &client_secret=你的APP_SECRET
    &grant_type=fb_exchange_token
    &fb_exchange_token=短期Token

2. 把返回的长期Token和过期时间持久化存储
3. 每次启动检查Token是否即将过期，若过期则用当前长期Token再次调用上面的接口，获取新的长期Token（只要用户没取消你的应用授权，就能一直续期）

如果是移动端应用，开启SSO后，用户只要设备上已经登录了Facebook官方应用，你的应用就能直接获取授权，不用跳转到登录页面输入账号密码，大幅降低用户感知。

配置示例： #

Android

LoginManager.getInstance().setLoginBehavior(LoginBehavior.NATIVE_WITH_FALLBACK);

iOS

在Info.plist中添加：

<key>LSApplicationQueriesSchemes</key>
<array>
    <string>fbauth2</string>
</array>

然后用LoginManager发起登录：

LoginManager().logIn(permissions: ["user_photos"], from: self) { result, error in
    // 处理登录结果
}

• 安全第一：存储Token时一定要加密，不要明文存在本地，防止被恶意窃取
• 后端验证：每次调用Facebook API前，建议后端调用/debug_token接口验证Token的有效性，避免使用无效或被篡改的Token
• 权限范围：确保你请求的权限（比如user_photos）是必要的，过多权限会降低用户授权意愿

内容的提问来源于stack exchange，提问作者Nanji Mange