facebook的确是因为安全原因才使用POST向iframe canvas发送请求的。其中的动机详见 https://developers.facebook.com/blog/... ，简单地说就是为了防止用户信息（主要是UID）通过refer泄露给第三方。

注意这篇文章发表于2010年10月，这个时候，facebook的iframe canvas还是以GET方式获得信息的。

后来，在2010年11月，facebook开发了一个POST to Canvas的功能，并且开始推荐开发者使用 https://developers.facebook.com/blog/... ，这个功能直到2011年3月末才成为必选功能。

值得一提的是，facebook为了防止信息泄露，在用POST方式后还做了一系列看不见的动作，包括强制要求所有的app必须支持https，以及将access_token内容进行进一步加密、去掉了其中用明文存储的UID信息等。做这些事情其实都需要耗费facebook额外的开发和运营成本，恐怕只有在国外才会舍得这么花钱在隐私保护上面吧。