I'm not disputing that they do this, I'm just curious what their documentation has to say about it. <div><br></div><div>Allen</div><div><br><div><br><div class="gmail_quote">On Thu, Aug 25, 2011 at 2:51 PM, Breno de Medeiros <span dir="ltr"><<a href="mailto:breno@google.com">breno@google.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;"><div class="im">On Thu, Aug 25, 2011 at 14:25, Allen Tom <<a href="mailto:allentomdude@gmail.com">allentomdude@gmail.com</a>> wrote:<br>

> Are there any public docs for the version of the FB signed_request that uses<br>
> a hash of the access_token/code, rather than actually containing the entire<br>
> access_token?<br>
<br>
</div>I don't think anyone disputes the fact that they include the token<br>
directly. However, it is my understanding that they do so only with<br>
tokens that need to be presented with the client secret.<br>
<div class="im"><br>
></div></blockquote></div></div></div>