核心用法
meta 是面向 Meta Marketing API 与 Instagram Graph API 的终端命令行工具，采用 Go 语言开发，主要服务于广告投放生命周期的全流程管理：
- 认证管理：支持 OAuth 2.0 授权码流程，需人工创建 Meta App 并配置
APP_ID/APP_SECRET，通过 Cloudflare Tunnel 等反向代理实现本地回调端点，AI 执行meta auth setup后人工在浏览器完成授权 - 架构同步：
meta schema sync预拉取 API 架构定义，用于验证写入操作参数合规性 - 账户洞察：
meta insights accounts list查看授权广告账户，meta insights run提取多维度投放数据（支持jsonl机器可读格式） - 广告操作：
campaign create/update/adset/ad等命令支持创建、修改、暂停广告系列，预算变更需显式确认（--confirm-budget-change），支持--dry-run预演 - Instagram 发布：
ig publish feed支持图片/视频 Feed 内容发布，需 HTTPS 媒体地址及幂等性键值
显著优点
1. 官方 API 原生对接：直接调用 Meta Graph API v18+，非爬虫方案，数据准确性及稳定性有保障
2. Profile 化多租户：支持多组认证凭据隔离管理，适合代理运营多客户场景
3. Schema 前置校验：本地缓存 API 字段定义，在请求前拦截无效参数，减少 API 试错成本
4. Fail-closed 设计：认证缺失或命令失败时立即停止，避免半成功状态导致的数据不一致
5. 审计友好：--output json/jsonl 输出便于接入 ELK/Splunk 等日志分析系统
潜在缺点与局限性
1. OAuth 流程复杂度高：必须人工介入创建 App、配置回调域名、浏览器授权，无法纯自动化部署
2. 网络依赖严格：本地 AI 主机需暴露 HTTPS 端点（依赖 Cloudflared 等工具），企业防火墙环境可能受阻
3. 权限粒度粗：scope-pack solo_smb 预定义权限包，精细权限（如仅读取无写入）需手动调整
4. Token 生命周期管理：需定期执行 meta auth validate --min-ttl 72h，长期运行需监控续期
5. Rate Limit 暴露：高频率操作易触发 Meta API 限制，工具本身无内置退避重试策略
适合人群
- 数字营销代理：管理 10+ 客户广告账户，需批量操作与数据拉取
- 电商运营团队：需将 Meta 广告数据接入内部 BI 系统（通过
jsonl输出） - DevOps/SRE：构建 CI/CD 流水线自动化广告创建（如大促前批量生成 campaign）
- 合规敏感企业：要求 API 操作留痕、可审计，拒绝浏览器模拟/RPA 方案
常规风险
| 风险类别 | 具体表现 | 缓解建议 |
|---------|---------|---------|
| 凭据泄露 | `APP_SECRET` 与 Access Token 在日志/命令历史中暴露 | 使用 `--open-browser=false` 避免 URL 含 secret；配置日志脱敏规则 |
| 误操作预算 | `daily_budget` 单位为元（分），数值错误导致超额投放 | 强制 `--dry-run` 预览；预算变更二次确认 `--confirm-budget-change` |
| OAuth 劫持 | Cloudflare Tunnel 临时域名被第三方抢注监听 | 限制隧道有效期；回调端点校验 `state` 参数（工具内置） |
| 权限蔓延 | 长期 Token 权限未最小化，离职人员凭据未 revoke | 定期审计 `meta auth list`；启用 Meta App 级 IP 白名单 |
| 数据留存 | `jsonl` 洞察数据含用户级信息，本地存储合规风险 | 配置数据保留策略；敏感字段哈希化后入仓 |