问Facebook没有正确验证appsecret_proof

EN

我有一个服务器应用程序，它从客户端接收用户访问令牌并生成一个appsecret_proof。为了验证接收到的访问令牌是否有效，我想进行一个图形API调用：

curl \
  -F 'access_token=<my access token>' \
  -F 'appsecret_proof=<my appsecret_proof>' \
  https://graph.facebook.com/me

但是，当我省略appsecret_proof字段时，请求仍然被验证。在这两种情况下，答复是：

{"success":true}

如果我有意传递无效的appsecre_proof，它就会像预期的那样工作：

{"error":{"message":"Invalid appsecret_proof provided in the API argument","type":"GraphMethodException","code":100}}

我在高级设置中做了必要的修改：

​

​

根据Facebook文档：“当启用该功能时，我们将只允许包含appsecret_proof或来自发出令牌的同一设备的API调用。”“一旦您更改了该设置，攻击者将无法在不访问您的应用程序机密的情况下使用窃取的访问令牌。”

我在这里错过了什么？