Aktualizacja

Zostało to zgłoszone na Facebooku przezhttps://www.facebook.com/whitehat/report/ 16 grudnia 2013 r. i Facebook odpowiedział 17 grudniabłąd już dawno został naprawiony.

Przetestowałem to ponownie z moim kontem na Facebooku (na którym nadal nie zweryfikowałem adresu e-mail) i podczas korzystania zNarzędzie Grap API Explorer nie jest możliwe uzyskanie adresu e-mail tego konta za pomocą API Graph lub zapytania FQL.

Wniosek: Adres e-mail, który otrzymujesz z Facebooka za pomocą Graph API lub zapytania FQL, jest zweryfikowanym adresem e-mail. Jeśli konto nie zweryfikowało, e-mail nie jest jeszcze możliwy.

Oryginalny post

Tworzę aplikację internetową z SSO, która oferuje użytkownikowi zalogowanie się za pomocą Google lub Facebooka. Chciałbym, aby użytkownicy, którzy mają oba typy kont, pojawili się jako ten sam użytkownik w moim systemie, niezależnie od tego, z jaką tożsamością się logują. Aby to osiągnąć, myślę o użyciu adresu e-mail jako identyfikatora, aby wiedzieć, czy powinienem utworzyć nowe konto lub czy użytkownik już istnieje.

Aby nie wprowadzać żadnych problemów z bezpieczeństwem, muszę wiedzieć, że adres e-mail jest zweryfikowany i faktycznie należy do użytkownika. Dla Googleuserinfo API może mi powiedzieć, czy wiadomość e-mail została zweryfikowana, czy nie, więc nie ma problemu. Ale nie mogę znaleźć czegoś takiego wFacebook Graph API.

Czy można sprawdzić, czy adres e-mail został potwierdzony na Facebooku?

Wiem, że jestverified pole, ale to tylko informuje, czy konto zostało zweryfikowane, a nie adres e-mail.

Na początku wyglądało na to, że możesz używać wyłącznie API Graph dla kont, na których potwierdzono adres e-mail. Jeśli adres nie został potwierdzony, wystąpił błąd informujący mnie, że muszę najpierw potwierdzić adres e-mail, zanim będę mógł zalogować się do dowolnej witryny innej firmy.

Nie wydaje się to jednak prawdą dla wszystkich kont. W niektórych przypadkach możliwe jest uzyskanie dostępu do wszystkich części Facebooka, nawet jeśli nie masz potwierdzonego adresu e-mail. Jednym z przykładów jest rejestracja za pomocą@ myopera.com Adres mailowy.

Po zarejestrowaniu się na Facebooku za pomocą adresu e-mail @ myopera.com otrzymasz wiadomość, że Twoje konto zostało tymczasowo zablokowane, gdy tylko prześlesz formularz rejestracji. Aby kontynuować, musisz podać swój numer telefonu, aby zweryfikować konto i „utrzymywać Facebooka w bezpiecznym miejscu i bez spamu” (przepraszam za szwedzki na zrzucie ekranu, to było zanim mogłem wejść na Facebook i zmienić język na angielski):

Kiedy podasz swój numer telefonu, jesteś zalogowany i Facebook nie przeszkadza ci dalej, musisz zweryfikować swój adres e-mail.

Jedyne miejsce, w którym możesz zobaczyć, że Twój adres e-mail nie został jeszcze zweryfikowany, znajduje się na stronie ustawień:

Ustawienia mobilne, które zazwyczaj nie są dostępne przed zweryfikowaniem adresu e-mail, są dostępne i wyświetla numer telefonu wprowadzony podczas rejestracji:

Oprócz tego możliwe jest również logowanie się do stron osób trzecich z niepotwierdzonym adresem e-mail:

Kiedy łączę się z api wykresu z tym użytkownikiem, mogę uzyskać niepotwierdzony adres e-mail i adresverified pole zwraca prawdę zgodnie z oczekiwaniami, ponieważ mamzweryfikowałem konto dodając numer telefonu. Oczywiście nie mogę ufać, że adres e-mail, który otrzymuję z Facebooka, naprawdę należy do użytkownika, który ma konto na Facebooku.

Czy istnieje inny sposób sprawdzenia, czy adres e-mail jest zweryfikowany, czy też muszę go zweryfikować, jeśli chcę go użyć do identyfikacji użytkownika?