Facebook sahifa tokeni (Page access token) qanday olinadi

Qisqacha: Page access token qanday olinadi?

Meta token turlari va muddatlari

Qaysi token kim nomidan ishlaydi va qancha yashaydi — Meta hujjatlari bo'yicha.

Meta ogohlantiradi: bu muddatlar oldindan xabarsiz o'zgarishi yoki token erta tugashi mumkin. Kodingiz muddatga emas, API xatosiga tayansin.

Muddatsiz Page token olish: 5 qadam

1. 1

   Ilovani sozlang

   Meta App Dashboard'da Facebook Login'ni qo'shing va redirect URI'ni aniq kiriting. Business turidagi app'da (Facebook Login for Business) ruxsatlar konfiguratsiyada tanlanadi va login havolasiga scope o'rniga config_id uzatiladi.

2. 2

   Foydalanuvchini login'ga yuboring

   Havolaga tasodifiy state qo'shing (CSRF himoyasi) va uni sessiyada saqlang. Minimal ruxsat: pages_show_list, qolganlari — vazifangizga qarab (post uchun pages_manage_posts va h.k.).

3. 3

   codeni serverda almashtiring

   Callback'da stateni solishtiring, codeni qisqa muddatli user tokenga, keyin fb_exchange_token bilan uzoq muddatli tokenga almashtiring. App secret faqat serverda bo'ladi — Meta ham tokenni server tomonida yaratishni talab qiladi.

4. 4

   Sahifa tokenlarini oling

   Uzoq muddatli user token bilan GET /me/accounts so'rang. Har bir sahifa uchun id, name, access_token va foydalanuvchi bajara oladigan vazifalar (tasks) keladi.

5. 5

   Tekshiring va shifrlab saqlang

   Access Token Debugger yoki debug_token orqali expires_at, data_access_expires_at va scopesni ko'ring. Tokenni bazaga shifrlab yozing, frontendga va log'ga chiqarmang.

Python'da: login'dan page token'gacha

Socialift SDK'da butun oqim to'rtta metod: login_url, exchange_code, granted_scopes, pages.

import secrets
from socialift import Facebook

REDIRECT = "https://example.uz/facebook/callback"
SCOPES = ["pages_show_list", "pages_read_engagement", "pages_manage_posts"]

def login_link(fb: Facebook) -> tuple[str, str]:
    state = secrets.token_urlsafe(32)  # sessiyada saqlang
    return fb.login_url(redirect_uri=REDIRECT, state=state, scopes=SCOPES), state

async def on_callback(code: str) -> None:
    async with Facebook.from_env() as fb:
        user = await fb.exchange_code(code, redirect_uri=REDIRECT)  # ~60 kun
        granted = await fb.granted_scopes(user.access_token)
        missing = set(SCOPES) - set(granted)
        if missing:
            raise RuntimeError(f"Rad etilgan ruxsatlar: {missing}")
        for page in await fb.pages(user.access_token):
            save_page(page.id, page.name, page.access_token)  # shifrlab

Sahifa bilan ishlash uchun qaysi ruxsatlar kerak

Permissions Reference'dagi bog'liqliklar: asosiy ruxsatni so'rasangiz, bog'liqlarini ham so'rash kerak.

boryo'q

Standard Access holatida bularni faqat app'da roli bor odamlar bera oladi. Begona sahifalar uchun Advanced Access kerak — u App Review va Business Verification orqali olinadi.

Ruxsat bor, lekin post chiqmayapti: sahifadagi vazifalar

Page token nega ishlamay qoladi

Graph API token muammolarini error_subcode bilan ajratadi. Eng ko'p uchraydiganlari:

Asosiy kod odatda 190 bo'ladi. Socialift SDK'da 190 kodi AuthError sifatida keladi — uni ushlab, akkauntni "qayta ulash kerak" holatiga o'tkazing.

Ma'lumotga kirish muddati (90 kun) — alohida tushuncha

System user token: odam ishtirokisiz server integratsiyasi

Ulanishni uzish: tokenni to'g'ri bekor qilish

Tokenni faqat bazadan o'chirish yetarli emas — ruxsat Facebook tomonida saqlanib qoladi.

from socialift import AuthError, Facebook

async def disconnect(user_token: str, account_id: int) -> None:
    async with Facebook.from_env() as fb:
        print("Berilgan ruxsatlar:", await fb.granted_scopes(user_token))
        try:
            await fb.revoke(user_token)  # DELETE /me/permissions
        except AuthError:
            pass  # token allaqachon yaroqsiz — Meta tomonida ulanish yo'q
    delete_tokens(account_id)  # user va page tokenlarni bazadan o'chiring

Ishlab chiqarish uchun tekshiruv ro'yxati

• ▸Page tokenni faqat uzoq muddatli user tokendan oling.
• ▸granted_scopes bilan foydalanuvchi rad etgan ruxsatlarni aniqlang va interfeysda ko'rsating.
• ▸Tokenlarni shifrlab saqlang; frontendga, log'ga va xato hisobotlariga chiqarmang.
• ▸Har so'rovga appsecret_proof qo'shilsin (SDK buni avtomatik qiladi).
• ▸190 xatosida akkauntni "qayta ulash kerak" holatiga o'tkazing va egasiga xabar bering.
• ▸Uzishda revoke chaqiring va tokenlarni bazadan o'chiring.