iOS/Android/Facebook/Twitter政策下，静默刷新SNS令牌是否合规？

针对你描述的场景——用户已授权过第三方登录，session token过期后想静默获取刷新后的SNS令牌，我来拆解下iOS、Android和Facebook各自的政策要求，以及你遇到的弹窗问题的原因：

iOS平台政策 #

iOS的App Store审核政策核心是用户知情权和控制权。如果你的应用是通过用户之前已经明确授权的refresh token来静默刷新SNS令牌（而非主动触发登录UI），这种操作是合规的。但要注意：

• 必须确保首次授权时用户明确同意了离线访问权限（以便获取refresh token）；
• 绝对不能在用户无感知的情况下弹出登录弹窗，这种强制打扰用户的行为会违反App Store的用户体验政策。

Android平台政策 #

Google Play的政策同样强调用户授权的有效性。对于Google Sign-In来说，官方本身就支持通过refresh token静默刷新access token的机制，只要用户首次授权时你请求了offline_access权限，后续的静默刷新操作完全合规。另外，Android系统的权限机制也要求，任何涉及用户身份的操作必须基于之前的合法授权，不能滥用权限发起无交互的登录请求。

Facebook平台政策 #

Facebook的政策对登录触发方式要求更严格：

• 允许使用refresh token静默刷新access token（前提是首次授权时获取了长期有效的refresh token）；
• 绝对禁止在没有用户主动交互（比如点击登录按钮）的情况下自动弹出登录弹窗。你遇到的弹窗自动消失的情况，大概率是因为应用在未触发用户主动操作的情况下发起了登录请求，Facebook SDK检测到不符合要求后直接终止了流程，这种行为确实存在违反Facebook平台政策的风险，因为它干扰了用户的正常使用流程。

要避免政策风险，同时解决session token过期的问题，建议按以下流程处理：

• 首次用户授权时，务必向SNS提供商请求离线访问权限，获取长期有效的refresh token；
• 当应用的session token过期时，优先使用refresh token静默刷新SNS的access token，再用新的access token向你的API服务器换取新的session token，全程无需用户交互；
• 只有当refresh token也过期（或失效）时，才引导用户主动点击登录按钮，发起新的授权请求，此时弹出的登录弹窗是用户主动触发的，完全符合平台政策。

内容的提问来源于stack exchange，提问作者King Chan