Telegram限制普通机器人发送HTML小部件

Telegram已限制普通机器人（Bot）发送HTML小部件。在用户与机器人的私人聊天中，也无法再发送新的小部件消息。

自14日凌晨起，Telegram Bot API的GitHub存储库中出现了开发者提交的报告，指出在私人聊天中发送小部件时会触发“INPUT_MEDIA_WIDGET_NOT_ALLOWED”错误。提交报告的开发者表示，在限制措施实施前，同一机器人曾成功发送了约120个小部件。

与提示消息长度或HTML格式有误的错误不同，此次返回的信息明确表示不允许发送小部件。Telegram Bot API的贡献者levlam在GitHub上表示：“目前，普通机器人在私人聊天中也无法使用小部件。”

Telegram于9日在Bot API 10.4版本中添加了小部件发送功能。小部件允许机器人将使用HTML、CSS和JavaScript制作的小型界面嵌入消息中，使用户无需跳转到单独页面即可查看信息或点击按钮。

Telegram的开发文档列举了价格显示、投票和游戏等作为小部件的应用案例。小部件通过将聊天内可操作的界面与机器人处理的后端请求相连接来实现功能。

小部件在Telegram应用内的受限环境中运行，无法直接访问外部互联网。其渲染代码与后续更新的数据也是相互区分的。发布之初，运营环境中的小部件发送仅限于机器人和用户之间的私人聊天。此前我们曾报道过，Telegram公开了小部件和TON支付功能，并将正式使用范围限制在个人对话中。

此次，连被指引为支持对象的私人聊天中，普通机器人发送新小部件的功能也受到了限制。这导致了开发文档与实际运行情况之间出现差异。

小部件与迷你应用（Mini Apps）的运行机制不同。小部件是嵌入在聊天消息中的界面，而迷你应用则是通过点击按钮或链接打开的独立网页服务。

在功能刚推出时，围绕小部件和个人聊天应用的安全问题也曾引发争议。此前我们曾报道，Telegram因担忧免签（tap-on）黑客攻击风险，限制了个人聊天应用的新注册。

Telegram创始人兼首席执行官帕维尔·杜罗夫（Pavel Durov）在其Telegram频道中表示：“仅接收消息不会导致被黑客入侵。”他声称，攻击必须要求用户首先执行第三方服务，且该途径已在服务器端被阻断。

对于加密货币用户而言，小部件与其内置钱包能够请求支付或签名有关。Telegram开发文档中详细说明了通过小部件进行钱包请求的功能。

钱包交易的结构是：用户在单独打开的钱包窗口中，确认小部件界面上显示的金额和收款地址后，由用户批准交易。因此，不能仅凭此次确认的小部件发送限制就认为钱包交易本身已停止。

此次确认的措施仅限于普通机器人在私人聊天中发送新小部件消息的功能，并不意味着迷你应用的全面中断或加密货币遭受损失。