Ciao,

ho una web app asp.net mvc che deve permettere agli utenti di poter accedere tramite FB.
Stessa cosa deve avvenire su un'app Xamarin che stiamo realizzando.

La domanda è: se sull'app FB mi rilascia un access token dopo il login la web app questo token non lo conosce quindi non mi autorizzerebbe le chiamate ai suoi WS.
Qual è la corretta architettura e soluzione per permettere ad un utente di loggarsi tramite FB sull'app e poi di chiamare i WS di una web app?

Passare FacebookId e Access Token per autenticare a seguito della login FB l'utente anche sul backend, memorizzando l'accesso token per le seguenti chiamate ai WS? Non mi sembra il massimo, ma non capisco quale sia il giro più pulito.

grazie

Ottimo, grazie mille. Lo implemento nei prox giorni.

Ne approfitto per farti un'altra domanda.
Alcuni servizi del backend sono privi di controllo dell'autenticazione, esempio "Registrazione nuovo utente", "Recupero password" e "Login" in quanto ovviamente non essendosi ancora loggato l'utente non ho modo di proteggere la chiamata e devo aprirla anche ad utenti anonimi.

Ho quindi pensato di definire una chiave statica, una sorta di token applicativo, memorizzato sul backend ed archiviato all'interno dell'app.
In questo modo quando l'app chiama i tre WS sopra indicati deve passare anche il token (statico che non cambia mai) così che il server possa vedere se combacia con il suo.

Ovviamente il server espone tutti i servizi su HTTPS, dunque sul canale questo informazione è illeggibile.

Mi chiedo però se sull'app sarebbe possibile intercettare i pacchetti in uscita ed analizzarli, scoprendo quindi la chiave di interscambio.

E' un metodo sicuro oppure sto sbagliando strada? Tu come lo implementeresti?

Grazie!

Esatto voglio evitare che i servizi possano essere consumati al di fuori dell'app.
Non mi è chiaro cosa intendi con un valore variabile che cambia ad ogni richiesta...intendi forse qualcosa che inganni chi eventualmente lo intercetta ma che poi lato server vado ad ignorare?

Cosa intendi infine con la possibilità di estrarre tutti i dati una volta che un utente è loggato? Come impedirlo?

Grazie