核心功能
Telegram Bot Skill 提供了对 Telegram Bot API 的完整命令行封装，使用户无需编写复杂代码即可创建和管理聊天机器人。核心能力涵盖：机器人基础信息管理（getMe、setMyCommands）、消息发送（文本、图片、文档、位置、内联/回复键盘）、更新获取（轮询/long polling）、Webhook 配置、聊天室管理（成员统计、封禁/解封）以及消息操作（编辑、删除、置顶、转发）。
显著优势
1. 官方 API 直连：直接调用 Telegram 核心服务器，无中间商，响应稳定可靠
2. 零依赖轻量：仅需 curl 和 jq，无需安装 SDK 或运行时环境
3. 功能覆盖全面：从简单通知机器人到复杂交互式应用均可支持
4. 格式丰富：支持 HTML/Markdown 格式化、内联按钮、回复键盘等多媒体交互
5. 文档完善：Telegram 官方文档详尽，社区生态成熟
潜在局限
- 被动触发限制：机器人无法主动向未交互过的用户发送消息，必须先由用户发送 /start
- 速率限制严格：单聊天 1 msg/s，全局约 30 msg/s 到不同聊天
- 文件大小限制：照片 10MB，文档 50MB，大文件需借助文件托管
- Token 安全风险：Bot Token 即完整权限凭证，泄露即等于接管机器人
- Webhook 部署门槛：生产环境需要 HTTPS 公网服务器或隧道工具
适合人群
- 开发者快速搭建通知推送系统
- 社区运营者管理 Telegram 群组/频道
- DevOps 工程师集成告警通知到 IM
- 个人用户创建自动化消息代理
常规风险
| 风险类型 | 说明 | 防护建议 |
|---------|------|---------|
| Token 泄露 | 环境变量或脚本中硬编码导致泄露 | 使用 secret 管理工具，避免 commit 到代码仓库 |
| 权限滥用 | bot 被拉入恶意群组发送垃圾信息 | 配置 privacy mode，限制 bot 接收非命令消息 |
| Webhook 劫持 | 回调地址未验证导致伪造请求 | 验证请求签名或 IP 白名单（Telegram 固定 IP 段） |
| 消息内容注入 | 用户输入直接拼接引发 XSS 或命令注入 | 对用户输入做转义，使用 API 的参数化接口 |
| 速率封禁 | 频繁调用导致 IP 或 Token 被临时封禁 | 实现指数退避重试，监控 429 响应 |
典型用例
- 服务器告警推送（配合 Prometheus Alertmanager）
- GitHub/GitLab CI 构建结果通知
- 频道定时内容发布
- 群组自动 moderation（关键词过滤、欢迎消息）
- 个人文件传输助手