Estoy probando una aplicación web que tiene una opción para conectarse a su cuenta de Facebook. El flujo de inicio de sesión oauth comienza así:
No puedo cambiar el dominio del parámetro redirect_uri, pero puedo cambiar la parte de "recurso" de redirect_uri, de modo que puedo apuntarlo a una página donde puedo insertar una etiqueta img con el atributo src apuntando a mi sitio, y por eso robar el código oauth a través del encabezado del referente.
¿Pero es el código de facebook auth de alguna utilidad para mí? No veo una forma de cambiarlo por un token de acceso. El tipo de respuesta = token está deshabilitado.