ｾｷｭﾘﾃｨという観点に立つと､どのようなｾｷｭﾘﾃｨﾘｽｸを考えるかが問題となります｡残念ながら100％安全な方法といったものはありませんので｡

ここでは､ｸｯｷｰの情報が第3者に流れるというﾘｽｸについては考慮しないことにします｡まずは､ｱｸｾｽﾄｰｸﾝをｸｯｷｰに保存すると､そのｱｸｾｽ―ﾄｰｸﾝをもとにそのﾕｰｻﾞがなりすましをすることができるかがﾎﾟｲﾝﾄとして回答します｡

つまり､そのｱｸｾｽﾄｰｸﾝをちょっと改変すると､別のﾕｰｻﾞとしてそのWebｱﾌﾟﾘｹｰｼｮﾝにﾛｸﾞｲﾝできるかどうか？あるいは､そのｱｸｾｽﾄｰｸﾝで別のWebｱﾌﾟﾘｹｰｼｮﾝを利用することができるかどうか？のみに注目すると､OAuthのｱｸｾｽﾄｰｸﾝは､この観点からは特に問題がないと言っていいと思います｡

では､全く問題ないかというと､例えばで､ｱｸｾｽﾄｰｸﾝさえあれば､

https://graph.facebook.com/me?access_token=＜ｱｸｾｽﾄｰｸﾝ＞

という形だけでﾃﾞｰﾀが取れてしまうので､ｱｸｾｽﾄｰｸﾝが第3者に流れたことを考えると､ﾘｽｸは残ります｡

これを防ぐにはｱｸｾｽﾄｰｸﾝは一度もｸﾗｲｱﾝﾄ側へ渡さないことが大事になります｡もし､yuma_nishizakiさんが作成しているWebｱﾌﾟﾘに独自の認証機構があるのであれば､そのｱﾌﾟﾘのﾕｰｻﾞの情報としてｱｸｾｽﾄｰｸﾝを保存しておく方がいいでしょう｡認証自体にFacebookを使っているのであれば､ｾｯｼｮﾝIDなどをｸｯｷｰに保存しておいて､ｱｸｾｽﾄｰｸﾝはｻｰﾊﾞ側で管理しておけば､ｱｸｾｽﾄｰｸﾝだけが流用される危険は防げるかと思います｡

質問に則って回答させてもらえば､

｢ｻｰﾊﾞ側で持っておいて､API叩くときにｱﾌﾟﾘ側でﾕｰｻﾞに合わせて引っ張ってきてあげる｣

方がよいと思います｡

【参考】

http://developers.facebook.com/docs/authentication/

ｸｯｷｰをｾｷｭｱにする?Session FixationとかSession Hijackとか?
http://d.hatena.ne.jp/zatsuso/20080209/