В разделе "Настройки" > "Дополнительно" в конфигурации приложения Facebook есть параметр Клиентский токен. В описании указано, что токен клиента используется для методов auth вместо секретности приложения.
В каких вызовах может использоваться клиентский токен вместо App Secret и почему он должен?
Клиентский токен используется для клиентских приложений, которые не могут использовать стандартный метод oAuth2.
Веб-приложение может заполнять параметр redirect_uri, гарантируя, что вызывающий url является авторизованным URL-адресом для приложения, но приложение iOS не имеет действительного URL-адреса для перенаправления, поэтому вместо этого используется токен клиента.