如何获取Facebook API永久access token？使用Graph API Explorer生成的令牌非永久

在Graph API Explorer中通过权限配置面板生成的默认访问token属于短期临时凭证，可通过梯度兑换的流程拿到符合永久有效期要求的API凭证，具体操作步骤如下：

• 初始短期凭证生成：在Graph API Explorer的权限勾选面板中，配置全部业务需要的权限范围（包含当前使用的read_attribution权限），生成对应授权范围的初始访问token。这一环节产出的token通常仅1-2小时有效，也就是当前获取到的非永久凭证。
• 长周期用户凭证兑换：使用第一步拿到的短期token，搭配对应Facebook应用的App ID、App Secret作为身份校验参数，调用Graph平台的标准凭证兑换接口完成升级，升级后的长周期用户token默认有效期为60天，仍未达到永久有效标准。
• 永久凭证提取：使用第二步拿到的60天有效期长周期用户token，调用Graph接口拉取该授权用户管理的全部Facebook页面列表，从返回结果中提取对应页面的关联访问token，该凭证就是通常所说的永久有效API token。

核心注意：普通用户维度的访问token不存在严格意义上的永久有效版本，上述流程提取的永久页面token，只要满足「授权用户未撤销对应用的授权、用户账号状态正常、对应页面的管理权限未被调整」三个前提，就不会因为时间到期自动失效。

实操过程中需要额外留意几个要点：

• 当前使用的read_attribution属于平台受限权限，需要提前通过Facebook应用的权限审核校验，否则即使拿到永久token，调用对应归因类接口时也会返回权限不足的报错。
• 应用的App Secret属于核心敏感凭证，禁止存储在公开可访问的前端代码、公开代码仓库中，避免应用身份被盗用引发安全风险。
• 如果已获取的永久token出现无故失效，优先排查三个触发场景：对应授权用户是否撤销了对当前应用的授权、是否修改过账号登录密码、对应页面的管理权限是否被调整，以上场景都会直接触发token失效。

内容的提问来源于stack exchange，提问作者Pierre-Alexandre