Facebook API:如何在没有offline_access权限的情况下在用户离线时发布到页面Feed - 腾讯云开发者社区 - 腾讯云

开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

摘要近年来，攻击者利用Microsoft Entra ID（原Azure AD）的多租户应用注册机制，创建高度仿真的假冒OAuth应用，诱导用户在合法微软授权页面授予高权限（如Mail.Read、User.ReadWrite.All...用户点击链接后，被重定向至真实的Microsoft Entra ID OAuth同意页面，在看似无害的提示下授予Mail.Read、Calendars.Read、User.ReadWrite等权限。...3.2 权限范围缺乏上下文解释OAuth同意页面仅列出权限名称（如“Mail.Read”），未说明其实际能力（“可读取所有邮件，包括已删除项”）。用户难以判断风险。...-ConsentPolicySetting "DoNotAllowUserConsent"或精细控制：仅允许低风险权限（如User.Read）由用户同意，高风险权限（含.All、offline_access...= 应用可在您离线时持续访问。

2401 0

还原Facebook数据泄漏事件始末，用户信息到底是如何被第三方获取的？

这里有一份官方指南，本指南演示了从 Facebook 获取信息，并使用 Graph API 将信息发布到 Facebook 平台上的相关知识。...获取数据（用户信息，评论，照片），发布到用户时间表和页面，并使用你的应用进行测试，最终获取你已测试的操作代码示例。...中读取数据首先是查询当你打开 Graph API Explorer 时，它将自动加载最新版本的 Graph API 和默认的 GET 请求，如：GET / me？...发布页面信息如果要帖子发布到页面上，你需要具有 publish_actions 权限，或者 manage_pages 和 publish_pages 并作为具有管理权限的管理员页面访问令牌。...该协议没有包括罚款，但除了其他措施外，还要求 Facebook 在更改隐私设置时征得用户同意。

5.3K5 0

您找到你想要的搜索结果了吗？

是的

没有找到

【转】系统设计-第11章：设计一个信息推送系统

根据 Facebook 帮助页面，“动态是位于首页中间不断更新的动态列表。动态包括您在 Facebook 上关注的用户、公共主页和小组发布的状态更新、照片、视频、链接、应用事件和点赞。”[1]。...面试官：都是候选人：哪些是重要的特征？面试官：用户可以发布帖子，并在信息流页面上看到她朋友的帖子。候选人：信息是按逆时针顺序排序，还是按任何特定顺序，如主题得分？例如，你的亲密朋友的帖子有更高的分数。...信息流检索 API检索信息流的API如下：GET /v1/me/feed参数：auth_token：它用于验证API请求。信息发布（Feed publishing）图11-2显示了发布流程的高层设计。...User（用户）：用户可以在浏览器或移动应用程序上查看信息流。一个用户通过API发布内容为 "你好 "的帖子： /v1/me/feed?...该请求看起来像这样：/v1/me/feed。Load balancer（负载均衡器）：将流量分配给网络服务器。Web servers（网络服务器）：网络服务器将请求路由到信息发布服务。

8171 0

关于如何做一个“优秀网站”的清单——规范篇

在适当情况下提供社交相关的元数据确认方法： ●在FaceBook的爬虫工具中打开自己网站中一个有代表性的页面，并确保他看起来是合理的。...如果是通用按钮，您可能希望在点击时将URL直接复制到用户的剪贴板，提供他们的社交网络来分享，或尝试新的Web Share API与Android上的本机共享系统集成。...站点适当地通知用户何时离线确认方法：向用户提供有关如何使用通知的上下文： ■访问该网站并找到推送通知选择加入流程 ■当浏览器显示权限请求时，请确保已提供上下文以说明该站点需要的权限...■如果站点正在请求页面加载的权限，请确保它同时提供非常清晰的上下文，为什么用户应该启用推送通知。改善方法：请参阅我们的指南，以创建用户友好的通知权限流。。...当Chrome显示权限请求时，请确保该页面“暗淡”（覆盖上一层），所有内容与解释网站需要推送通知的原因无关。

4.9K7 0

FeedSky 使用介绍

Feed 统计整体数据整体数据显示当前这个月每天的你在 FeedSky 烧制 Feed 的订阅数目，能够显示在线订阅术和总订阅数，相对来说在线订阅数比较能够来衡量你 Feed 订阅上升趋势，因为如果使用离线订阅软件订阅你的用户没有开机...，第一是非常难记，第二万一哪天 FeedSky 服务出现了问题，你会白白浪费很多的订阅用户，所以你可以 Feed 绑定到你自己控制的域名之下，如本站的 http://feed.fairyfish.net...至于如何绑定域名，该页面1，2，3，三步写的非常清楚。...Feed 互动 Feed 互动是指如何在 Feed 中添加和读者交互的功能，暂时 FeedSky 有发送给朋友，收藏到365key，收藏到del.icio.us，分享到饭否等等功能，另外你还可以添加Feed...互动爱好者开发的功能，并且 FeedSky 开放 Feed 互动 API，有兴趣，你也可以去开发一个。

6472 0

使用Identity Server 4建立Authorization Server (4)

这种情况下 token的生命可能很短, 但是我们可以重定向到authorization server 重新获取新的token....我们还需要获取Refresh Token, 这就要求我们的网站必须可以"离线"工作, 这里离线是指用户和网站之间断开了, 并不是指网站离线了....这就是说网站可以使用token来和api进行交互, 而不需要用户登陆到网站上. ...还需要指定请求访问的scopes: 包括 socialnetwork api和离线访问最后还可以告诉它从UserInfo节点获取用户的Claims....我们回到About页面, 复制一下access_token, 去jwt.io分析一下: ? 确实没有email的值, 所以提取不出来.

1.8K5 0

假“微软”真陷阱！新型钓鱼攻击绕过MFA，企业邮箱正成黑客“提款机”

用户点击链接后，会跳转到真实的微软登录页面，看起来完全合法。但就在你点击‘同意’的那一刻，黑客就已经拿到了进入你邮箱的‘钥匙’。”...OAuth 2.0是一种广泛使用的开放授权协议，允许第三方应用在不获取用户密码的情况下，通过用户授权访问特定资源。...但在此次攻击中，攻击者申请的权限远超正常范围：Mail.Read（读取邮件）、User.ReadWrite（读写用户信息）、offline_access（离线访问）。...五、未来趋势：从“防密码泄露”到“防授权滥用”此次事件标志着网络钓鱼攻击已进入“后MFA时代”。随着传统凭据攻击成本上升，攻击者正转向更隐蔽的授权滥用、API滥用等“合法路径”。...微软方面也已加强检测机制，通过Graph API活动日志监控异常邮件读取行为，并在用户授权高风险权限时增加警示提示。

2581 0

Feed 流系统杂谈

接下来我们以关注页场景为例来介绍 Feed 流的实现。 Feed 流有两种基本实现模式：推模式：当新的 Feed 发布后，将这条内容插入到发布者所有粉丝的 Feed 流中。...但是在粉丝数较多的大V发布内容时需要在他每个粉丝的Feed流中一一进行插入，会产生较大的峰值负载。由于 Feed 发布后的插入操作较多，通常需要使用 MQ 来异步地进行。...拉模式的优点在于大V发布内容时不会产生峰值负载，但是实时构建 Feed 流操作需要用户等待较多时间。在实际应用中我们通常采取推拉结合的实现方式。...Feed 流系统优化在线推离线拉一个拥有 10 万粉丝的大V在发布微博时，他的粉丝中可能只有 1 千人在线。...因此我们常用的优化策略是：对于在线的粉丝采用推模式，将新的 Feed 直接插入到粉丝的信息流中；对于离线的粉丝采用拉模式，在粉丝登录时遍历他的关注关系重新构建 Feed 流。

1.2K1 0

Facebook 20 亿用户数据均可能泄露，扎克伯格仍不打算辞职

Facebook CTO Mike Schroepfer在博客中详细介绍了新的第三方用户信息权限，包括9大变化： Events API：此前，人们可以授予应用获取关于他们主持或参加的活动信息的权限，包括私人活动...从今天开始，使用该API的app将不再能够访问其他人的出席信息或发布在留言板上的活动信息。而且未来将只有Facebook批准的、同意严格要求的app才可以使用Events API。...Groups API：目前，应用程序需要 Groups 的管理员或成员的权限才能访问封闭组的内容，以及需要管理员的同意才能访问对私密组。这些应用程序可帮助管理员轻松发布和回复组内的帖子。...此外，我们还删除了应用程序可以访问的帖子或评论的个人信息，例如姓名和个人资料照片。 Pages API：此前，任何应用程序都可以使用Pages API从任何页面读取帖子或评论。...Facebook还计划限制开发者对用户信息的访问量，限制其为应用提供用户的姓名、照片和电子邮件地址的信息。如果用户连续三个月都没有使用服务，Facebook会撤销这款应用程序对你数据的访问权限。

1.5K4 0

系统设计：Facebook的新闻流设计

需求让我们设计Facebook的新闻提要，其中包含来自Facebook的帖子、照片、视频和状态更新用户关注的所有人和页面。...•每个FeedItem都有一个用户ID，该ID将指向创建它的用户。为了简单起见，让我们假设只有用户可以创建提要项目，尽管Facebook页面上可以发布提要我也是。...提要发布：每当Jane加载她的新闻提要页面时，她都必须请求并从中提取提要项服务器。当她到达当前提要的末尾时，她可以从服务器中提取更多数据。...离线生成新闻源：我们可以有专门的服务器不断生成新闻源，用户的新闻提要并将其存储在内存中。因此，每当用户为他们的用户请求新帖子时。feed，我们可以简单地从预先生成的存储位置提供它。...这种方法可能存在的问题 a）在用户发出拉取请求之前，新数据可能不会显示给用户； b）很难找到正确的pull cadence，因为大多数情况下，pull请求会导致空响应，如果没有新数据，造成资源浪费。

7.1K28 3

微信小程序基础架构浅析

JS-SDK 发布 2015 年初，微信发布了一整套网页开发工具包，称之为 JS-SDK，开放了拍摄、录音、语音识别、二维码、地图、支付、分享、卡券等几十个 API。...并利用 JS-SDK 的分享能力变相的去裂变分享到各个群或者朋友圈，由于 JS-SDK 是根据域名来赋予 api 权限的，运营人员封了一个域名后，他们立马用别的域名又继续做坏，要知道注册一个新的域名的成本是很低的...离线下载和页面预渲染功能增强了用户体验，提升了加载速度，解决了 JS-SDK 加载白屏的问题 1。小程序提供了云端更新离线包的功能，可动态更新页面，相对于 app 的更新和发布更为灵活。...小程序双线程架构 JS 逻辑层运行在 JSCore 中，并没有一个完整浏览器对象，因而缺少相关的 DOM API 和 BOM API，无法操作页面元素，能达到管控的目的，但也限制了开发者的权限：不允许开发者把页面跳转到其他在线网页...Native 层将其转成真实 DOM 插入到原生 App 的页面中。

3.4K2 0

Feed 流系统实战

Feed 流系统实战「CSDN」里有一个页面叫「关注页」，关注页的逻辑十分常见就是将用户关注的创作者发表的文章聚合在一起，按时间倒序排列即可。...推模型另一部分工程师认为在创作者发布文章时就应该将新文章写入到粉丝的关注 Timeline，用户每次阅读只需要到自己的关注 Timeline 拉取就可以了：使用推模型方案创作者每次发布新文章系统就需要写入...因为活跃用户和不活跃用户常常被叫做「在线用户」和「离线用户」，所以这种通过推拉结合处理头部作者发布内容的方式也被称为「在线推，离线拉」。...推模型：发布新 Feed 时推送到每个粉丝的 Timeline; 拉模型：打开 Timeline 时拉取所有关注的人发布的 Feed，重新聚合成粉丝的 Timeline。...头部用户的几十上百万粉丝中活跃用户比例很少，所以我们可以只将他们的新 Feed 推送给活跃用户，不活跃用户等回归时再使用拉模型重建 Timeline.即通过「在线推、离线拉」的模式解决推模型的峰值问题。

6871 0

使用dex搭建一个身份认证系统

一个成熟的软件系统一般必须有一个可靠的身份认证与权限验证功能。...以上是维基百科的解释，说白了就是用某种方式确保用户是某种身份，这种确保需要保证其它用户没那么容易伪装其身份。一般只有经过身份认证得到可靠的用户身份后，才能基于该身份进行后续的权限验证流程。...，这里一般逻辑应该是检查用户的登录身份信息是否合法，如果不合法则跳至dexserver的登录页面。...示例中dexclient并没有在浏览器中完成用户身份信息验证，以决定是否跳转登录页面，这个在实际项目中肯定是要做的。...示例中dexclient并没有根据用户的选择跳转至指定的Connector登录页，对于支持多种认证方式的业务系统来说，这个也是必须的。

3.2K1 2

不要使用Resource Owner Password Credentials

为什么ROPC存在 ROPC适合的场景是这样的：用户信任client（client就是需要访问用户个人信息的程序），这种client可能是一些高权限的应用。授权服务器应该特别关注这种情况。...查看我的文章保护api的错误方式了解为什么不要用类似Http Basic的方式去做验证/鉴权。为什么你不应该使用ROPC 下面来模拟一下情况。...当使用了ROPC，就没有办法知道用户是否真正的发起了请求。ROPC不是一种认证方式。同时，这种方式在引导你的用户养成一个坏的习惯。他很像一种网络欺骗攻击。...一个不知名的程序要求你的用户提供其他程序的凭证。试想一个程序让你输入你谷歌或者facebook的凭证，而不是重定向到谷歌或者fb的页面的情况。...通常情况下，我们使用google或者ms的应用的时候，是直接保存应用页面并不是登录页面。

7934 0

高频场景题分析｜Feeds 流怎么设计？

推与拉之争拉模型一部分工程师认为应该在查询时首先查询用户关注的所有创作者 uid，然后查询他们发布的所有文章，最后按照发布时间降序排列。...推模型另一部分工程师认为在创作者发布文章时就应该将新文章写入到粉丝的关注 Timeline，用户每次阅读只需要到自己的关注 Timeline 拉取就可以了：使用推模型方案创作者每次发布新文章系统就需要写入...此外推送可以慢慢进行，但是用户很难容忍打开页面时需要等待很长时间才能看到内容（很长：指等一秒钟就觉得卡）。因此拉模型读取效率低下的缺点使得它的应用受到了极大限制。...因为活跃用户和不活跃用户常常被叫做「在线用户」和「离线用户」，所以这种通过推拉结合处理头部作者发布内容的方式也被称为「在线推，离线拉」。...在使用「在线推，离线拉」策略时我们需要判断用户是否在线，在为 Timeline 设置了过期时间后，Timeline 缓存是否存在本身即可以作为用户是否在线的标志。

7631 2

win10怎么安装python3.8_win10怎么安装python

2017年1月18日，周董生日这一天，facebook下的torch7团队宣布Pytorch开源，官网地址：pytorch。...因为直接构建自 Python C API，Pytorch从细粒度上直接支持python的访问。...相比于原生Python实现，引入的新概念很少，这不仅降低了 python 用户理解的门槛，也能保证代码基本跟原生的 python 实现一致。...二.动态图的良好支持 Tensorflow运行必须提前建好静态计算图，然后通过feed和run重复执行建好的图。...如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至举报，一经查实，本站将立刻删除。

1.1K1 0

app hybrid框架_混合式app

而且最终的页面也是在webview中显示,所有有跨平台效果 React Native App Facebook发起的开源的一套新的APP开发方案,使用JS+部分原生语法来实现功能。...由于是直接通过的浏览器访问,所以无法使用原生的API,操作体验不好依赖于网络,页面访问速度慢,耗费流量 Web App每次访问都需要去服务端加载资源访问,所以必须依赖于网络,而且网速慢时访问速度很不理想...,特别是在移动端,如果网站优化不好会无故消耗大量流量功能受限,大量功能无法实现只能使用Html5的一些特殊api,无法调用原生API,所以很多功能存在无法实现情况临时性入口,用户留存率低...App 原生功能体验优秀差良好接近优秀渲染性能非常快慢接近快快是否支持设备底层访问支持不支持支持支持网络要求支持离线依赖网络支持离线(资源存本地情况) 支持离线更新复杂度...不追求用户体验和性能,对离线访问没要求正常来说,如果追求性能和体验,都不会选用web app 没有额外功能,只有一些信息展示因为web有限制,很多功能都无法实现,所以有额外功能就只能弃用这种方案了

1.9K2 0

来了，Facebook APP Feed流的内存优化实践

翻译：可可 |英文：https://code.facebook.com/posts/973222319439596 引言大量的用户每天在Android设备上使用Facebook，滚动新闻Feed流页面...我们专注于页面的滚动性能，因为我们希望用户在滚动他们的Feed流页面时有一个平滑的体验。...便利性带来的缺点我们从Traceview的一个方法分析报告中注意到：facebook的app对Long.valueOf（）函数的大量调用。...当我们查看堆栈时，我们发现这个函数没有被直接的从Facebook的代码调用，而是隐式地由编译器插入的代码。在分配长整型对象的原始长值时调用此函数。...我们也看到了内存使用有很大的改善。在查看堆转储和分配跟踪报告时，我们注意到对象分配的减少。

1.3K3 0

E5 自动订阅程序

配置api权限勾选一下四个选项后，同时点击代表XX授予管理员同意 PS: 这一步如果用的是子账号创建的api，那么这一项是灰色的，不能点击。...，我只能获取你在 github中的用户id、用户名等基础信息(邮箱获取不了)，其他的任何信息也获取不到(可自行尝试注册一个github Apps测试)。...交流群：959720211 还是要说一下隐私安全问题因为有几个读者也说到了，统一回答下 api权限仅拥有 openid offline_access Mail.Read Mail.ReadWrite...Mail.ReadBasic Mail.ReadBasic.ALL 这6个权限也就是说我仅仅能读取授权账户的邮件，其他任何事都做不了，且我写的这个程序没有保存任何除key之外的信息所以一开始我就说了...，用子账户进行授权（空账户）及创建api，这样不涉及到隐私及安全问题。

2.3K0 0

Web端和App端测试小结

二、间断问题：移动端有一个重要的问题，一般情况下在使用软件的过程并不是长久的，这中间可能发生很多中断，如电话、短信、通知、断电等等，软件需要特殊处理这些情况。...但是移动端由于屏幕较小，页面及按钮会受到屏幕大小的限制，再加上用户都是通过手指进行操作，一些按钮、选择框等是否容易点击，多个可点区域位置较近时，点击部位稍微偏移，也许就会造成不同的结果，这种情况下是否可以达到预先的效果...五、离线测试：首先离线下页面呈现；其次数据完整性和session一致性；另外，还需要关注的是，离线状态下会不会还不断的请求网络，不断的做网络相关的操作。从离线状态恢复到有网络，会不会有请求堆积。...六、分享：移动端一般会装有很多软件，用户下单或者产品有活动时，用户都会进行分享，但是分享时的权限、软件是否存在等问题，需要特殊处理测试。...一般的软件或应用，都会开放一部分页面，允许用户不登录时即可访问，而有些页面是必须要求用户登录的，主要针对这两种权限不同的页面做分享，然后通过分享进入本页面，查看权限的控制是否正常。

1K5 0

点击加载更多

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭