Проверить токен доступа к API Facebook и идентификатор пользователя через PHP SDK?

Я использую PHP PHP SDK (v3.2.3, а не v4.0) ( https://developers.facebook.com/docs/reference/php/3.2.3 ) на моем сервере и плагин Phonegap Facebook (мастер ) ( https://github.com/phonegap/phonegap-facebook-plugin ), установленный вручную в приложении Iphone Phonegap v3.3.0.

У меня все хорошо настроено, приложение отображает токен доступа к Facebook и «userID» пользователя, прошедшего проверку подлинности. Проблема в том, что токены Facebook продолжаются всего 2 месяца. Чтобы исправить это, я создал таблицу, в которой размещается каждый токен FB Access, который Facebook предоставил для всех моих пользователей на базе FB. Это отлично работает с кнопкой «Войти в систему» ​​на моем сайте!

• Alamofire загружает изображение с помощью multipart / form-data
• Веб-сервис HTTPS с сеансом PHP
• Песочница APNS Ошибка подключения «0» в php-файле?
• iOS push-уведомление не работает с использованием PHP
• Асинхронное шифрование в Swift

… Но поскольку этот плагин Phonegap оставляет устройство посредником между Facebook и моей базой данных, мне нужно, чтобы мой сервер дважды проверял с помощью Facebook, чтобы проверить идентификатор пользователя, а доступный токен, предоставленный пользователем, является подлинным. Я видел, что могу запросить https://graph.facebook.com/app?access_token=TOKEN или сделать что-то вроде:

 GET /debug_token? input_token={input-token}& access_token={access-token} 

… и, по-видимому, вернуть все, что мне нужно, но я чувствую, что злоумышленник может просто продолжать использовать мой PHP-скрипт, который проверяет с помощью Facebook снова и снова, пока не находят успех, – тогда у них будут полномочия, необходимые для доступа к моему приложению от имени этого пользователя, чей токен они догадались.

Если идея злоумышленника, предполагающая какой-либо токен доступа к Facebook в течение нескольких недель, смехотворна, сообщите мне. Но я надеялся сузить его и заставить злоумышленника также узнать, какой пользователь они угадывают токен доступа – ТО должно быть почти невозможно взломать. Итак, как я могу проверить пользователя, использующего BOTH токен доступа пользователя и числовой идентификатор пользователя?

 $facebook = new Facebook(array( 'appId' => <FACEBOOK_ID>, 'secret' => <FACEBOOK_SECRET>, )); $facebook->setAccessToken($_REQUEST['access_token']); if (($userId = $facebook->getUser())) { // $_REQUEST['access_token'] is valid token for user with id $userId }