Sto lavorando su un'app mobile con un back-end web. Vorremmo che gli utenti effettuassero l'autenticazione (tramite login) solo tramite Facebook, quindi non dobbiamo memorizzare password ecc. E non costringere gli utenti a creare un altro account.
Tuttavia, ho un po 'di difficoltà nel vedere come funziona. In questo momento, ogni volta che un utente effettua l'accesso, Facebook restituisce un token di accesso. Mi piacerebbe usare questo token di accesso per assicurarmi che solo questo utente stia cercando di leggere / scrivere i dati che dovrebbero. L'app utilizza il back-end pubblicando le richieste http (GET, POST, UPDATE e DELETE). La mia impressione è che mi piacerebbe memorizzare questo token di accesso sul server, fare in modo che l'app includa il token con ogni richiesta e quindi confrontare i due.
Tuttavia, l'invio del token come parametro url sembra stupido, poiché sospetto che questo sia molto vulnerabile agli attacchi, poiché chiunque intercetta immediatamente questo token e quindi accede a tutto nell'app E sulla pagina Facebook dell'utente.
C'è un modo migliore per farlo in modo sicuro? O sto andando in questo modo completamente nel modo sbagliato?