डायरेक्ट एक्सेस टोकन पर फेसबुक शपथ प्रवाह लाभ

इसे OAuth 2.0 मानक में इसके क्लाइंट प्रकारों के टूटने में संबोधित किया गया है :

उपयोगकर्ता-एजेंट-आधारित एप्लिकेशन

उपयोगकर्ता-एजेंट-आधारित एप्लिकेशन एक सार्वजनिक क्लाइंट है जिसमें क्लाइंट कोड वेब सर्वर से डाउनलोड किया जाता है और संसाधन स्वामी द्वारा उपयोग किए गए डिवाइस पर उपयोगकर्ता-एजेंट (उदाहरण के लिए, वेब ब्राउज़र) के भीतर निष्पादित होता है। प्रोटोकॉल डेटा और क्रेडेंशियल संसाधन स्वामी के लिए आसानी से सुलभ (और अक्सर दिखाई देने वाले) होते हैं। चूंकि ऐसे एप्लिकेशन उपयोगकर्ता-एजेंट के भीतर रहते हैं, वे प्राधिकरण का अनुरोध करते समय उपयोगकर्ता-एजेंट क्षमताओं का निर्बाध उपयोग कर सकते हैं।

मूल एप्लिकेशन

एक मूल एप्लिकेशन एक सार्वजनिक क्लाइंट है जिसे संसाधन स्वामी द्वारा उपयोग किए गए डिवाइस पर स्थापित और निष्पादित किया जाता है। प्रोटोकॉल डेटा और क्रेडेंशियल संसाधन स्वामी के लिए सुलभ हैं। यह माना जाता है कि एप्लिकेशन में शामिल किसी भी क्लाइंट प्रमाणीकरण क्रेडेंशियल को निकाला जा सकता है। दूसरी ओर, गतिशील रूप से जारी किए गए क्रेडेंशियल जैसे एक्सेस टोकन या रीफ्रेश टोकन सुरक्षा का स्वीकार्य स्तर प्राप्त कर सकते हैं। कम से कम, ये क्रेडेंशियल शत्रुतापूर्ण सर्वरों से सुरक्षित हैं जिनके साथ एप्लिकेशन इंटरैक्ट कर सकता है। कुछ प्लेटफ़ॉर्म पर, इन क्रेडेंशियल्स को उसी डिवाइस पर रहने वाले अन्य एप्लिकेशन से सुरक्षित किया जा सकता है। [जोर मेरा]

तो जाहिर तौर पर फेसबुक इस सलाह का पालन कर रहा है और यह मान रहा है कि देशी एप्लिकेशन - लेकिन वेब एप्लिकेशन नहीं - एक्सेस टोकन की रक्षा कर सकते हैं।