如何在Facebook App中使用长期访问令牌免登录刷新令牌？

Hey there! Let's break down your two questions clearly—this is a super common pain point when working with Facebook's API and Django allauth, so I'll walk you through both the core API logic and the allauth-specific implementation.

一、Facebook App中刷新长期访问令牌的核心流程 #

First, let's cover the basic API mechanics that work for any app integration:

• 前提确认: 你必须持有一个有效的长期用户访问令牌（注意：短期令牌（1-2小时有效期）不能直接刷新成长期令牌，得先通过用户登录流程转换；但长期令牌（60天有效期）可以直接刷新，完全不需要用户交互）
• 发送刷新请求: 向Facebook的令牌端点发起GET请求，参数如下：
  • grant_type=fb_exchange_token （固定值，告知Facebook你要执行令牌刷新操作）
  • client_id=你的Facebook App ID
  • client_secret=你的Facebook App密钥（在Facebook开发者后台的App Settings中获取）
  • fb_exchange_token=当前的长期访问令牌
• 解析响应: 请求成功后，Facebook会返回一个JSON对象，包含：
  • access_token: 新的长期令牌（有效期重置为60天）
  • expires_in: 令牌有效期（秒数，通常为5184000，即60天）
  • token_type=bearer
• 注意事项:
  • 只要当前令牌未过期，就能重复刷新，每次刷新后有效期重新计算60天
  • 必须确保你的Facebook App已开启offline_access权限（这是获取和刷新长期令牌的必要前提）

二、Django Allauth自动刷新令牌（无需用户重新登录） #

Since you're already storing the long-lived token in your database via allauth, here's how to automate the refresh without forcing users to go through the login flow again:

1. 确认Allauth的存储字段 #

Allauth的UserSocialAccount模型已经内置了所需字段：

• token: 存储当前的访问令牌
• expires_at: 存储令牌的过期时间戳（datetime类型）
  确保用户首次登录时，这些字段被正确填充（只要你在Facebook provider设置中开启了offline_access权限，allauth会自动处理）

2. 编写令牌刷新函数 #

创建一个可复用的函数，处理API请求并更新数据库：

import requests
from django.utils import timezone
from allauth.socialaccount.models import UserSocialAccount

def refresh_facebook_token(social_account):
    # 跳过非Facebook账号
    if social_account.provider != "facebook":
        return False

    # 从allauth配置中获取Facebook应用凭证
    provider = social_account.get_provider()
    app = provider.get_app(social_account.request)

    # Facebook令牌刷新端点（使用最新稳定API版本）
    api_url = "https://graph.facebook.com/v18.0/oauth/access_token"
    params = {
        "grant_type": "fb_exchange_token",
        "client_id": app.client_id,
        "client_secret": app.secret,
        "fb_exchange_token": social_account.token,
    }

    # 发送刷新请求
    response = requests.get(api_url, params=params)
    if response.status_code != 200:
        # 处理请求错误（如令牌已过期、凭证无效）
        return False

    response_data = response.json()
    new_token = response_data.get("access_token")
    expires_in_seconds = response_data.get("expires_in")

    if not new_token or not expires_in_seconds:
        return False

    # 更新数据库中的令牌和过期时间
    social_account.token = new_token
    social_account.expires_at = timezone.now() + timezone.timedelta(seconds=expires_in_seconds)
    social_account.save()
    return True

3. 触发刷新的两种常用方式 #

根据你的应用需求选择合适的触发逻辑：

方式一：定时批量刷新（推荐）

设置定时任务，定期检查即将过期的令牌并自动刷新。例如使用Celery + Redis或Django Q：

def refresh_expiring_facebook_tokens():
    # 目标：刷新未来7天内即将过期的令牌
    expiry_threshold = timezone.now() + timezone.timedelta(days=7)
    expiring_accounts = UserSocialAccount.objects.filter(
        provider="facebook",
        expires_at__lte=expiry_threshold
    )

    for account in expiring_accounts:
        refresh_facebook_token(account)

将这个函数配置为每日执行（比如用Celery Beat），确保令牌始终处于有效状态。

方式二：按需刷新（用户触发）

当用户访问需要调用Facebook API的功能时，先检查令牌是否即将过期，再刷新后执行业务逻辑：

from django.contrib.auth.decorators import login_required

@login_required
def facebook_integrated_view(request):
    social_account = request.user.socialaccount_set.filter(provider="facebook").first()
    if not social_account:
        # 引导用户进行Facebook登录
        ...

    # 检查令牌是否将在3天内过期
    if social_account.expires_at <= timezone.now() + timezone.timedelta(days=3):
        refresh_success = refresh_facebook_token(social_account)
        if not refresh_success:
            # 令牌无法刷新，提示用户重新登录
            ...

    # 使用刷新后的令牌执行Facebook API操作
    ...

4. 关键注意事项 #

• Offline Access权限: 务必确认你的Facebook App已开启offline_access权限（在App Dashboard > App Review > Permissions and Features中配置），allauth会自动请求该权限如果你已在provider设置中添加。
• 错误处理: 添加日志记录失败的刷新操作—如果令牌已过期，需要提示用户重新进行Facebook认证。
• API版本: 使用最新的稳定版Facebook Graph API（将示例中的v18.0替换为当前最新版本），避免使用已废弃的端点。

内容的提问来源于stack exchange，提问作者Dori