Из клиентской части выдернуть auth-токен на сервер?

[Micha]

Есть iframe приложение для VK.

Появилась необходимость получать список пользователей на серверной стороне, для того, чтобы правильно сформировать ответ для клиентской части приложения (активность друзей можно взять за пример).

Но т.к. ранее не планировалось использовать серверную часть для работы с API vk.com, все приложение было написано на JS, а серверная сторона использовалась только для хранения данных.

В связи с этим вопрос, можно ли из клиентской части как-то выдернуть auth-токен, отправить его на сервер, на котором уже произвести запрос к vk API? Иначе же, придется по сути делать два приложения (одно iframe, второе - standalone), и из каждого запрашивать доступ к каким либо вещам, что естественно за собой повлечет существенную переработку как серверной части, так и клиентской...

Получать список друзей и отсылать его на серверную часть так же не является хорошим вариантом, т.к. количество друзей может превышать тысячи человек, а запросов может быть много, и это будет порождать слишком много трафика.

Подскажите, пожалуйста, в какую сторону смотреть, есть ли выход?

[Александр]

Micha
Какие методы API нужно использовать?
Чтобы использовать friends.get с сервера, достаточно чтобы пользователь разрешил доступ в приложении.
Вызов серверных методов (APIServerPHPClass)