Как исправить ошибку ВКонтакте «User authorization failed: access_token was given to another ip address»?

Question

[koliane]

Делаю авторизацию в приложении android и apple через соц. сервис ВКонтакте.

Алгоритм такой:
1) Приложение Apple или Android получают access_token из ВКонтакте
2) Токен этот передают на сервер (чтобы зарегистрировать пользователя в БД)
3) По токену пытаюсь получить информацию о пользователе, обращаясь к api ВКонтакте, но в ответ получаю ошибку "User authorization failed: access_token was given to another ip address"

Из ошибки понятно, что токен запрашивалcz клиентом с одним ip, а у сервера другой ip

Подскажите, как можно побороть эту ошибку?
Информацию о пользователе пробую получить методом

https: //api.vk.com/method/users.get?v=5.8&fields=uid,
first_name,
last_name,
nickname,
screen_name,
sex,
bdate,
city,
country,
timezone,
photo,
photo_medium,
photo_max_orig,
photo_rec,
email&access_token=<здесь токен, который передало приложение>

Пробовал различные комбинации с параметрами client_secret, client_id и т.д., но результат тот же
Также в Android пробовали добавить в scope значение offline (в итернети пишут, что некоторым помогало) - тоже не вышло.

Как получить информацию о пользователе по токену, делая запрос с сервера, чтобы не было этой ошибки? Какие есть решения?

Comments

[Сергей Соколов]

вопрос имеет отношение только к ВК, поэтому стоит убрать остальные теги.

Ключ пользователя можно получать двумя способами: в Standalone приложении, и тогда он привязан к IP, но и позволяет делать практически всё. И для работы со стороны сервера от имени пользователя. Авторизуйте пользователя ещё раз, через сервер. Или получайте инфу на клиенте и передавайте её на сервер, но в этом варианте нет гарантий достверности инфы.

[koliane]

Сергей Соколов, верно я понимаю, что нужно пересоздать приложение во ВКонтакте?
Получается, мобильное приложение должно давать пользователю возможность авторизоваться, и после успешной авторизации, вконтакте вышлет код авторизации уже на сервер, по которому я уже могу получить access_token и инфу о пользователе?

[koliane]

Т.е. по access_token, пришедшему с мобильного приложения, информацию о пользователе не получить?
В Фейсбуке, яндексе, гугл все это можно сделать

Answer 1

[skripter]

scope=offline, так ты получишь бессрочный токен без привязок к айпи.

Comments

[koliane]

Про это в документации где-то говорится? Мне с платформы Android говорили, что пробовали scope=offline, но результат тот же (об этом написал в описании задачи)

и это выглядит небезопасно. Т.е., тот кто перехватывает токен, может всегда авторизовываться.