核心用法
quotly-style-sticker 是一个消息转贴纸生成工具，专为 Telegram 等即时通讯场景设计。用户只需提供选中的转发消息（selected_messages），系统即调用 QuotLy API 自动生成高仿真的引用风格贴纸（Quote Sticker），并以 MEDIA: 路径形式返回 WebP 文件供自动发送。
显著优点
1. 一键生成，零配置开箱即用：无需复杂设计，消息内容自动渲染为精美引用卡片，支持头像、昵称、消息内容完整呈现。
2. 高度可定制：支持通过 overwrite_message 覆盖原文和头像，可调整画布尺寸、圆角、背景色等视觉参数，满足个性化需求。
3. 自动化集成：专为 Agent 设计，输出格式标准化（MEDIA:<path>），可直接对接消息发送管道，实现静默自动回复。
4. 多层安全防护：内置 SSRF 防御（IP/主机名白名单、DNS 重绑定防护）、路径遍历拦截、URL 凭据剥离、请求/响应大小限制（1MB/10MB），敏感环境可通过 QUOTLY_API_ALLOW_HOSTS 严格限制通信目标。
潜在局限
- 外部依赖：核心渲染依赖第三方 QuotLy API，网络波动或服务变更可能影响可用性；私有化部署需自建服务。
- 隐私风险：消息内容、头像 URL 需发送至外部服务器处理，虽支持审计日志（
QUOTLY_AUDIT_LOG），但敏感对话仍建议评估数据出境合规性。 - 输入源信任：
avatar_url和status_url直接透传至渲染服务，若来源不可控，存在被恶意 URL 利用风险（尽管有 SSRF 防护）。 - 格式限制：仅输出 WebP 格式，部分老旧客户端可能兼容性欠佳。
适合人群
- 社群运营者：快速制作趣味引用图，增强群聊互动氛围；
- Bot 开发者：需要集成消息卡片化能力的 Telegram/IM 机器人项目；
- 内容创作者：希望将精彩对话存档为可视化分享素材。
常规风险
| 风险类型 | 说明与应对 |
|---------|-----------|
| SSRF 攻击 | 已部署主机名验证、DNS 重绑定防护、私有 IP 拦截，建议生产环境必配 `QUOTLY_API_ALLOW_HOSTS` |
| 数据泄露 | 消息内容外发至 API，敏感场景建议启用审计日志并评估数据分类分级 |
| 资源滥用 | 单请求 1MB 上限，大图片/长文本可能触发截断 |
| 依赖服务故障 | 建议配置健康检查与降级策略，关键业务考虑私有化 QuotLy 部署 |