Sto testando un'app Web che ha un'opzione per connettersi al tuo account Facebook. Il flusso di login di oauth inizia così:
Non sono in grado di cambiare il dominio del parametro redirect_uri, ma posso modificare la parte "resource" del redirect_uri, in modo da poterlo puntare a una pagina in cui posso inserire un tag img con l'attributo src che punta al mio sito, e da questo rubare il codice oauth tramite l'intestazione del referer.
Ma il codice Facebook oauth è di qualche utilità per me? Non vedo un modo per scambiarlo con un token di accesso. Il response_type = token è disabilitato.