如何使用 Telegram 登录：一键 WebAuth、无缝手机验证与机器人服务提醒

本文介绍用 Telegram 一键登录网站的原理与安全要点：确认始终在应用内完成，任何网页索要验证码都是仿冒；同时说明授权会交出哪些身份信息、如何查看并断开已授权连接，以及它与两步验证的区别。

内容导读

有些网站提供 Telegram 按钮，而不是注册表单。你按下它，应用会询问是否授权该网站，你确认后即完成登录——无需创建密码，也无需输入密码。

一个方向上真正划算的交易，另一个方向上悄然累积的负担，外加一个值得一眼识破的仿冒手法。

确认发生在应用内部——这个细节就是整个安全性的关键。

批准在应用内完成，绝不在网页上

这是要记住的一句话，因为它同时也是检验标准。在真实流程中，网站会把你转交出去，而那个问题——你是否想让这个网站知道你是谁——由 Telegram 本身在应用内或官方窗口中提出。你在那里作答，然后被送回。

仿冒流程则相反。一个看起来像 Telegram 登录页的页面会索要你的手机号，然后索要收到的验证码，之后一切都在别人的屏幕上发生。那不是登录，而是别人在登录你的账号，而你在一旁念出数字。

你不需要评估页面有多逼真，而这正是有用之处。规则关乎位置而非外观：如果某个网站索要手机号和登录验证码，关掉它。任何合法版本都绝不会这样做。

任何网站都不需要你的登录验证码 无论是为了验证你、关联账号，还是证明你是真人。验证码是你账号的钥匙，唯一该输入它的地方是 Telegram 自己的登录界面，而且是在你手持的设备上。

对比

它们在不同环节出问题，而这正是选择它们的依据。

	你交出的东西	它替你省去什么	需要注意什么
用 Telegram 登录	你的名字、你的用户名和你的头像——你的 Telegram 身份。任何更多信息都必须经过请求和批准。	在一个你一无所知的网站上创建密码，以及该网站被入侵后随之而来的一切。	网站现在知道了你的 Telegram 身份，而且这个连接会一直存在，直到你主动去切断它。
邮箱和密码	一个地址和一个秘密，都由建站者存储。	什么都省不了，除非密码是唯一的——那样它才真正与你使用的其他一切相互独立。	重复使用密码会让一个疏忽的网站变成到处都有的问题。密码管理器能解决这一点；靠记忆不行。
另一个平台的登录	该平台分享的一切，通常比你预想的多，而且往往包括联系人或个人资料。	同样的密码问题，以同样的方式出现。	它把又一个服务绑定到一个已经是你生活大量关键的账号上。

这三种方式都把风险集中在某处。有意识地选择把鸡蛋放在哪个篮子里，而不是看哪个按钮最大。

网站会得知你在 Telegram 上的身份。你的显示名称、用户名（如果你有）、头像，以及一个能让它下次认出你的稳定标识符。这足以发挥作用，也足以把你在该网站上的活动与你在 Telegram 的账号永久关联在它们的记录里。

由此得出一条经验法则。在“可识别的你”正是重点的场合使用它——社区工具、与你运营的频道相连的服务、机器人的控制面板。在你不希望活动与 Telegram 身份挂钩的场合避免使用，改用邮箱地址。

也值得对网站本身稍作停顿，因为这只是轻轻一点，后果却不是。一个无人听说过的网站，从聊天里的链接进入，却要求连接你的账号，正是值得多一分怀疑的情形——不是因为流程不安全，而是因为网站可能不安全。

这些连接会被列出，也可以被切断 隐私设置会记录你授权过的网站，其中任何一个都可以断开。值得每年读一遍这份列表，理由和读设备列表一样——几乎每个人都会发现一些自己完全忘了的东西。

因为批准发生在应用内，有人试图以你的身份登录时，会显示为一条你并未请求的提示。这是个好特性：意外的授权请求不是麻烦，而是一条通知，说明有人正在某个网站上输入你的用户名。

应对很简单。拒绝它，不要去找那个网站看它是什么。如果这类提示不断出现，该检查的是账号本身——设备列表、两步验证，以及是否收到过你并未请求的登录验证码。

它不能替代两步验证 这里的一切都关乎其他网站。你的 Telegram 账号自身的保护是另一回事，而一旦上述任何环节出问题，它才是最重要的。