oauth 구현시 consumer server 에서의 보안은 어떻게 해야 할까요??

우선 상황 부터 말씀드리면, app에서 facebook oauth 수행 후에 access token 을 저장해 둔 상태입니다.

서버측에는 user 테이블에 서비스 코드(facebook or twitter) 와 아이디를 저장해둔 상태이구요.

문제는 클라이언트쪽에서 consumer 서비스에 접근할 때, 아이디와 서비스코드만으로 인증된 유저인지 보장할 수 있는 걸까요?

누군가의 남의 페이스북 아이디를 안다는 것만으로 서비스를 인증해 줄 수는 없지 않는가 싶네요..;;;

생각해 본 방법은,

클라이언트에서 엑세스 토큰을 consumer 서버에 보낸후 consumer 서버쪽에서 provider 에 물어 확인하도록 하는 방법인데...

이 방법이 과연 옳은 방법일지 의십스럽네요.

다른 좋은 방법이 없을까요?

(혹, 인증은 전적으로 service provider 에 일임한다, 라는 개념으로 접근하는 것인가요???)