Facebook应用审核：排查business_management权限的实际调用位置

• 首先查询Facebook开发者后台的API调用日志：进入应用面板后找到API调用记录模块，可按权限维度过滤business_management相关记录，能直接查看到对应调用的时间、请求端点、发起IP、关联的access token标识、请求参数，可从告警触发时间向前倒推筛选，快速定位调用来源。
• 排查OAuth授权的scope配置：全局检索项目代码中授权流程的scope参数，确认是否误写了business_management字段，即便你未主动调用对应端点，只要授权时申请了该权限且有用户完成授权，也会被平台判定为使用了该权限；同时检查所用的第三方Facebook SDK初始化配置，部分封装SDK会默认携带多余权限声明。
• 检查现有端点的字段请求：你当前使用的/accounts端点若请求参数中额外携带了business、is_business_manager等和商务管理关联的字段，即便未调用官方标注的三个一级端点，也会触发该权限的校验和使用记录，可核对所有/accounts请求的fields参数是否仅包含你声明的id、access_token、name三个字段。
• 排查非预期的调用来源：检查应用后台的角色权限列表，确认所有拥有应用操作权限的账号均为可信人员，避免内部测试/第三方协作人员误调用相关接口；若存在access token泄露风险，可直接轮换所有生效的应用token、页面token，观察后续是否还会出现该权限的调用记录。
• 核对后台配置操作记录：近几个月若在应用后台做过绑定商务管理账户、申请页面高级权限、调整支付配置类的操作，也可能触发该权限的使用记录，可在后台操作日志中筛选对应时间的操作记录核对。

内容的提问来源于stack exchange，提问作者Tommehh