无Facebook登录令牌如何获取应用内Facebook好友？

这个问题我之前帮朋友处理过类似的，核心卡点在于Facebook Graph API的权限规则——没有有效的用户访问令牌，仅靠用户的Facebook ID是无法直接调用API获取好友列表的，因为这涉及用户隐私，Facebook严格限制无授权的访问。不过有几个可行的方案能满足你的需求，我给你拆解一下：

方案1：提前预存好友关系到自有数据库 #

这是最稳妥的方案，完全不需要依赖后续的Facebook API调用：

• 当用户首次通过Facebook登录并授权user_friends权限时，立刻调用Graph API的/{user-id}/friends端点，获取那些同样使用了你应用的好友列表（现在Facebook仅返回共同使用应用的好友，这是user_friends权限的默认范围）。
• 把用户的Facebook ID和对应的好友Facebook ID的关联关系，存储到你的自有数据库里（比如建一个user_friends表，字段包括user_facebook_id和friend_facebook_id）。
• 当用户用Google登录后，你只需要从数据库取出该用户的Facebook ID，直接查询这个预存的关联表，就能得到对应的好友数据。
• 补充：为了保证数据的时效性，可以在用户后续每次用Facebook登录时，重新调用API同步更新数据库里的好友列表，覆盖旧数据或者增量更新。

方案2：引导用户重新关联Facebook账号获取临时令牌 #

如果不想预存数据，或者需要实时的好友数据，可以引导用户临时授权：

• 当用户用Google登录后，在需要查看Facebook好友的场景（比如好友列表页面），提示用户“关联你的Facebook账号以查看应用内好友”，引导用户走Facebook的OAuth登录流程。
• 完成登录后，你会拿到一个有效的用户访问令牌，用这个令牌调用/{user-id}/friends端点就能获取最新的好友列表。
• 你可以选择暂时使用这个令牌（用完即弃），或者把令牌加密后存储到数据库，用于后续的API调用（注意短期令牌有效期是60天，长期令牌可以通过API延长有效期）。

关键注意事项 #

• 权限合规：确保你请求user_friends权限时，向用户明确说明用途，并且严格遵守Facebook的平台政策以及GDPR等隐私法规——比如用户取消授权后，你要删除对应的好友数据。
• 令牌安全：如果存储Facebook访问令牌，一定要加密存储，绝对不能明文保存，避免数据泄露。
• API限制：再次提醒，/{user-id}/friends端点仅返回共同使用你应用的好友，无法获取用户的全部Facebook好友，这是Facebook的隐私规则限制，无法绕过。

内容的提问来源于stack exchange，提问作者Saurabh Kumar