FB Javascript SDK do indentyfikacji

Wątpie, to API i tak wysyła/odbiera dane od FB celem weryfikacji i wątpię, że FB wypuścił coś, co da się (łatwo) oszukać (ale doświadczenia z tym nie mam).

http://www.devils-heaven.com/facebook-php-sdk-4-0-tutorial/

Using an existing Access Token, o ten akapit mi przede wszystkim chodzi. Access Token nie jest wysyłany bezpośrednio do PHP, tylko za pośrednictwem Javascript. Co prawa w poprzednim akapicie wspominają o zagrożeniach, ale gdyby to wziąć w nawias, to...?