Telegram 小程序（TMA）架构：WebApp SDK 与视口

互动

围绕同一个面板的四种立场

答案会因你是打开它、担心它、开发它，还是在它里面付款而截然不同。

打开一个

它能看见什么

构建一个

在其中支付

它是一个网页，而那圈边框是最诚实的部分

小程序打开时是一个面板，上方是 Telegram 自己的标题栏：你所在应用的名称，以及关闭它的方式。那个标题栏是屏幕上唯一由 Telegram 编写的部分。它下方的一切都由运营该应用的人编写，包括任何看起来像官方通知、警告或系统对话框的内容。

最小化不等于关闭。应用会继续运行，你输入的内容仍然留在里面——这对游戏来说很方便，但对商店或钱包来说是不该留下的状态。重要的应用要主动关闭。

有两个习惯从前面的步骤延续下来。你进来的那扇门就是信号：从机器人自己的菜单进入的应用，是你主动去找的；而从转发消息里的链接进入的应用，是别人摆到你面前的。而一个能占满整个屏幕的应用，已经移除了告诉你身在何处的标题栏——要在把屏幕交给它之前决定是否信任它，而不是之后。

把小程序当作浏览器标签页来对待，而不是当作已安装的应用。里面没有一样东西是你的，唯一可信的像素就是顶部那些。

它能拿到什么，拿不到什么

它能拿到 Telegram 识别出的你的身份——你的账号、显示名称、用户名和头像（如果你设置了的话）——以及你在它里面所做的一切。这是基线，页面一打开就自动送达。

它拿不到你的聊天、你的联系人、你的消息或你的手机号。没有任何机制能让那个面板里的页面读取你的对话，任何看起来知道对话内容的应用，要么是在猜，要么是你自己告诉它的。

任何更进一步的东西都是需要你另行回答的单独请求：在聊天中给你发消息、你的位置、你的手机号、访问运动传感器、在你的主屏幕上添加图标。每一项都是一个带名字的提示，每一项都是一个决定。最值得慢慢考虑的是位置，因为一次读取就是一个地址。

给正在做决定的人一句诚实的总结：暴露面是有限的，而这个限度就是“一个陌生人知道这个账号用过他们的应用”。对大多数应用来说这没什么大不了。但对于一个与你不愿被关联的事物有关的应用，这就是需要权衡的地方。

你的对话是够不着的。你的身份不是——而且它在你打开的那一刻就被交出去了，早于你做出任何决定。

一个有两处不同的网站

如果你在开发一个，你已知的几乎所有东西都适用：它是 HTML，运行在浏览器引擎中，由你自己的主机提供服务。有两件事确实不同，两件都值得围绕它们做设计。

用户已经被识别，而且身份是带签名送达的。Telegram 会把一个描述谁打开了它的数据包交给页面，附带一个你的服务器可以用机器人的密钥验证的签名。由此得出的规则正是人们常搞错的那条：永远不要相信页面告诉你的身份——在你的服务器上验证它。页面可以声称自己是任何人；正确校验过的签名不能。

这个界面是手机上可以被划走的一个面板。它打开时是部分展开的，可以放大，键盘会把它缩小，向下滑动的手势可能把它整个关闭。任何带表单、进行中的游戏或未发送订单的东西都需要扛住这一点——要么在关闭前询问，要么边操作边保存。关于小程序最常见的抱怨，就是用户不知道那是个手势，结果工作丢失了。

有一点可以利用：面板会继承读者的浅色或深色主题。尊重它就是让应用感觉像客户端一部分、还是明显像装在盒子里的网站之间的区别，而读者会把这种区别记作可信度，无论他们能否说出个所以然。

在服务器上验证，并为一种可能说到一半就消失的界面做设计。这两个决定区分了小程序和装在边框里的网站。

钱被允许在哪里流动

这是带规则而非建议的那一栏。付款发生在 Telegram 自己的付款界面中，它出现在应用上方；它不会发生在页面内部绘制的表单里。如果应用要求你在它自己的布局里输入卡号信息，停下——不是因为它一定是欺诈，而是因为你无从判断，而正当途径的存在恰恰是为了让你不必去判断。

同样的逻辑，对任何与钱包相关的东西更严格：一个索要助记词、私钥或 Telegram 登录验证码的小程序，每一次都是攻击，没有例外，也没有无害的版本。第 089 步讲了为什么助记词尤其会让对话到此为止。

而第 077 步的规则在这里依然成立。正当的交易是你发起的——通过打开某个东西并选择购买。一个还没给你看任何东西就弹出付款提示、连接请求或领取界面的应用，是在告诉你它是干什么用的。

要么用 Telegram 的付款界面，要么什么都不用。页面内任何索要机密的输入框就是整个骗局，无论页面做得多好。