把机器人加进Telegram群之前，先问它能看到什么？手把手教程（附权限对照表）
阿哲的群有八百多人，他加了一个机器人来做两件事：新人进群自动欢迎、常见问题自动回复。很好用，他几乎忘了它的存在。
三个月后，群里一个做安全的成员私聊问他一句：「那个机器人是谁做的？它能看到我们发的文件吗？」
他答不上来。他只知道自己给了它一些权限，但具体给了哪几项、以及它默认能看到什么，他从来没查过。他去翻聊天记录，发现机器人从没出过问题，但他心里已经不踏实了：八百多人的群里，有报价、有合同截图、有客户的联系方式——这些都是「发到群里」的东西。
这件事最后没有出事，但阿哲的结论很实在：加机器人这个动作，风险不在「它坏不坏」，而在「你从没问过它能看到什么」。 这篇就给一张能自查的对照表，以及两句能带走的判断。
二、把问题换掉：不是「它能做什么」，而是「它能拿到什么」
加机器人时，人天然会问「它能做什么」。但这句问法有一个致命的省略——它省略了「代价是什么」。
| 你原本会问的 | 真正决定后果的问题 | 为什么 |
|---|---|---|
| 它能自动欢迎新人吗 | 它有没有发消息的权限 | 能发消息，意味着它的身份可以在群里说话，包括被利用来发广告 |
| 它能自动删广告吗 | 它有没有删除消息的权限 | 能删消息，意味着它能删掉别人的话——包括不该删的 |
| 它能帮我踢人吗 | 它有没有封禁／移除成员的权限 | 这是对人起作用的一项，给错对象后果最直接 |
| 它能看我们聊什么吗 | 它接收消息的范围有多大 | 这才是本篇的重点：它拿到的是信息，不是动作 |
| 它能拿我的账号做什么 | 它和你的账号是不是一回事 | 先分清这件事，能省掉一半的担心（见下一节） |
发消息、删消息、踢人、看消息这几行是一件事：每一项权限都是一次授权，授权换来的便利与它带来的暴露是同一件事的两面。 而「它和你的账号是不是一回事」那一行，是被误解得最多的一行。
把这一节压成一句话：机器人能看到的，和你在同一个群里能看到的，是同一批东西。 你给它一个位置，它就在那个位置上看见你能看见的一切——所以「方便」的代价，是多了一个和你同等视角的旁观者。
三、先分清：机器人和你的账号不是一回事
这是很多人第一反应会搞错的地方，先把担心放对位置。
| 你可能担心的 | 实际情况 | 你真正该看的地方 |
|---|---|---|
| 机器人会不会控制我的账号 | 机器人有它自己的身份，不是你的账号，也不会因为你把它加进群而拿到你的登录状态 | 它要的东西里有没有「你的凭证」（见后文） |
| 机器人会不会拿我的身份说话 | 它在群里说话用的是它自己的名字，不是你的 | 但要留意「匿名管理员」这类设置带来的视线混淆 |
| 机器人会不会泄露我的数据 | 它能拿到的只有它被授权和能被投递到的那部分 | 权限清单 + 它的接收范围 |
| 我把它删了，它是不是还能看 | 移除之后它就不再是这个群的成员，也就收不到这个群的新消息 | 移除动作是否真的完成 |
「机器人会不会泄露我的数据」那一行是这篇的骨架：它的「视野」= 权限给的 + 消息投递给它的。 权限你在群设置里控制得了；而消息投递这件事，藏着一个大多数人不知道的开关——下一节单独讲。
四、加进群之前，先看这张对照表
下面这张表把常见的几类权限翻成「它实际能干什么」和「出了事会怎样」。加之前对着看一遍，三十秒的事。
| 权限类别 | 它让机器人能做什么 | 暴露的是什么 | 建议 |
|---|---|---|---|
| 发送消息 | 在群里主动说话、回复、发文件 | 你的群会被它的内容代表 | 基础功能，通常要给 |
| 删除消息 | 删掉群里（或它自己范围内）的消息 | 群里的记录完整性 | 只给确实要做审核的那一个，且单独给 |
| 封禁／移除成员 | 把人踢出去、限制发言 | 对人动手的能力 | 高风险项，除非你非常确定它的来源 |
| 置顶／编辑群信息 | 改群名、群简介、置顶内容 | 群的对外形象 | 谨慎；被改过的群名会误导成员 |
| 管理话题或分区 | 新建、关闭、整理分区 | 群的结构 | 群大且有分区时才需要 |
| 获得完整消息流 | 看到群里绝大多数普通对话 | 群里说过的一切 | 这是本篇最需要你想清楚的一项（见下一节） |
「获得完整消息流」那一行和前面几行性质不同：前面几行给的是动作，而这一行给的是视野。动作做错了能撤销，视野给出去了，它看过的东西就已经被看过了。
判断标准可以简化成一句：这项权限撤销之后，已经发生过的后果能不能补回来？ 能补的（发言、置顶）可以给；补不回来的（看过、删过、踢过），加之前就该多想十秒。
五、那个最关键的开关：它能不能看到「所有」消息
很多人以为「给不给权限」就是全部。其实还有一层：它对消息的接收范围。
| 情况 | 它能看到什么 | 你能改吗 |
|---|---|---|
| 默认状态 | 通常只能看到与它直接相关的那些消息（以命令开头、@它、或回复它的） | 你能做的就是不给它额外权限，或者不把它留在这里 |
| 被改成能看到全部 | 群里绝大多数普通对话它都会收到 | 这个开关通常在机器人自己的设置里，由它的拥有者决定，你在这边一般改不了 |
这一行是这篇最容易被忽略、也最该写出来的一句：群里能不能「让它看到全部」，很多时候不由你决定。 你改不了别人家机器人的设置——你能决定的只有两件事：要不要它在这个群里，以及给它多少权限。
所以判断顺序应该反过来：先问它是不是必须看到全部，再问它值不值得留。 一个只做「自动欢迎」的机器人，如果要求看到群里所有消息，那这个要求本身就该被拒绝——功能与视野不匹配，是最值得警惕的信号。
六、手把手：加进群、给权限、再收回
下面三列是主路径。入口措辞随版本与端不同，所以写成「按什么关键词找」；最后一列是这一步做成的标志。
| 你要做的事 | 按什么关键词找 | 看到什么算成功 |
|---|---|---|
| 先确认它的来路 | 看它的用户名、简介，以及你是从谁那里知道它的 | 你能说清「它是谁做的、为什么被推荐给你」，说不清就先别加 |
| 把它加进群 | 在群成员或添加成员的入口里，输入它的用户名 | 它以独立成员的身份出现在成员列表里，而不是混在普通成员中看不到 |
| 如果要做管理员，逐项勾权限 | 在把它设为管理员时出现的权限清单里逐项确认 | 清单里只勾了你真实需要的那几项，其余留空 |
| 收回权限 | 回到管理员设置或权限清单，取消勾选 | 它还在群里，但权限清单变短了 |
| 彻底移除 | 在成员列表里对它执行移除 | 它从成员列表消失，之后收不到这个群的新消息 |
「如果要做管理员，逐项勾权限」和「收回权限」这两条，是这套动作里最重要的一对：给权限要逐项勾，收回也要逐项看。 很多人的做法是「先全给上，不行再说」——但「不行」的那一刻，可能已经发生过了。
再补一个很实际的小节：如果群里出现了你不认识的机器人，先别急着踢。先看清它是谁加的、以什么身份在群里——如果是管理员加的、且在正常工作，踢掉可能打断别人依赖的流程；如果是陌生人加的、身份不明，处理顺序是先移除权限、再移除它、然后查一下谁有添加成员的权限。这一条比「看见就踢」稳得多。
七、「要凭证＝要身份」：这几类要求一律不答应
这一节是全文最不需要犹豫的部分。任何要你交出「能证明你是你」的东西的请求，都和「用机器人」无关。
| 对方的要求 | 它实际在要什么 | 怎么回应 |
|---|---|---|
| 「把收到的验证码发给我，我帮你验证一下」 | 你的账号身份 | 不给。验证码等于那一刻的账号 |
| 「把两步验证密码告诉我，帮你配置好」 | 你的账号身份 | 不给。它保护的就是这一步 |
| 「扫一下这个码登录就行」 | 你的会话 | 不给。扫的是你的登录状态 |
| 「把机器人的凭据发我，我帮你调好」 | 那台机器人的控制权 | 不给。凭据等于那台机器人的身份 |
| 「给我群管理员权限就行」 | 权限，而不是身份 | 可以给——但只给需要的项目，并且保留随时收回的能力 |
把这张表压成一句可以复述的话：要凭证的，都是在要身份；要权限的，才是在要功能。 前者一律不给，后者给得越精确越好。
顺带说清一个常被混淆的边界：「用机器人」这件事本身，从头到尾都不需要你交出任何凭证。 你把它加进群、勾选权限，用的是群里的权限设置，不是你的账号密码。所以一旦某件事要求你交出凭证，它就已经不在「用机器人」的范围里了。
八、加完之后：多久看一眼，看什么
| 什么时候 | 看什么 | 目的 |
|---|---|---|
| 刚加完的当天 | 成员列表与管理员的权限清单 | 确认你勾的那几项就是你以为的那几项 |
| 每次群里加新机器人时 | 这个群现在有几个机器人、分别是谁加的 | 视野的总量会累积，不是一次性的 |
| 一段时间之后 | 哪些机器人在工作、哪些已经没人用了 | 没人用的机器人是最容易忘记的暴露面 |
| 有人离开团队／换岗时 | 这些人加过的机器人还在不在 | 权限遗留通常发生在这里 |
「一段时间之后」那一行最值得做：没人用的机器人，是这类风险里最隐蔽的一种——它已经不在你的注意力里，但它还在群里。处理它不需要判断力，只需要想起来。
九、这几条路看起来更省事，代价是群
| 看起来更省事的做法 | 你实际让出的是什么 | 真实代价 |
|---|---|---|
| 从不明来源加一个「一键群管理」机器人 | 群里的完整视野与部分动作权限 | 你不知道它的拥有者是谁，也就无从判断它的行为 |
| 为了省事把管理员权限一次全勾上 | 对人与对记录的全部动作能力 | 出事之后你连「是它干的还是人干的」都分不清 |
| 把同一个机器人加进多个群并共用一个身份 | 出问题时的定位能力 | 一个群出事，其他群的信任一起受损 |
| 让它一直看到全部消息，只因为「懒得改」 | 群里说过的所有内容 | 你付的是一次设置的时间，换掉的是长期的信息边界 |
「从不明来源加一个一键群管理机器人」那一行，是本篇最想劝退的一条：判断一个机器人值不值得加，首先要能回答「它是谁做的」。 这不是技术问题，是常识问题——你会把一个不知道由谁做的设备装进自己家吗。
常见问题速答（FAQ）
Q1：机器人能看到群里的聊天记录吗？
分两种情况。默认状态下，它通常只看得到与它直接相关的消息（以命令开头、@它、或回复它的）；而如果它的接收范围被设置成看全部，群里绝大多数普通对话它都会收到。要注意的是：这个设置一般在机器人自己的那一侧由它的拥有者决定，你在群里通常改不了——你能决定的是要不要它留在这个群里。
Q2：机器人和我的账号是一回事吗？
不是。机器人有它自己的身份，在群里说话用的是它自己的名字，也不会因为你把它加进群就拿到你的登录状态。真正需要警惕的是它开口向你要「凭证」的那一刻——那已经不是机器人功能的问题了。
Q3：给我个能直接照抄的权限清单？
没有通用的清单，但有一条判断标准：只勾你真实需要的那几项，其余留空。 做欢迎就用发消息，做审核再单独给删除消息，两项都要就分两次想清楚。一次全勾上是这类操作里最常见的错误，因为它把「以后可能用到」变成了「现在就已经暴露」。
Q4：机器人要我的验证码或者扫码登录，正常吗？
不正常。加机器人和使用机器人，全程都不需要你交出验证码、两步验证密码或扫码登录。要凭证＝要身份，这类要求无论理由多合理都不该答应——它要的不是帮你做事，它要的是成为你。
Q5：群里出现不认识的机器人，直接踢掉可以吗？
建议按顺序来：先收回它的权限，再移除它，最后查一下谁有添加成员的权限。 直接踢掉虽然快，但如果它正在承担某个别人依赖的流程，你会打断一件你不了解的事；而且「谁把它加进来的」这个更重要的答案就丢了。
Q6：给机器人管理员权限之后还能取消吗？
能。回到管理员设置或权限清单里取消勾选即可，取消之后它仍然是群成员但不再拥有那几项能力；要彻底断开就把它从成员列表里移除，移除之后它收不到这个群的新消息。关键是「取消」要逐项看，别只看「它还是不是管理员」。
Q7：这篇和那两篇讲频道机器人的文章是什么关系？
那两篇分别讲频道里机器人的管理员配置（含「只给发布消息」这类模板）和频道内容审核里的一个步骤（把审核机器人加进群、只授删除权限），落点都在「频道怎么配」；本篇把问题提到通用的一层：加进来之前该看什么、给权限时该按什么标准缩、出事时按什么顺序收回。 你要配频道，看那两篇；你要判断「这个机器人该不该加」，就在本篇。
结语：你要管的不是机器人，是视野
阿哲最后做了三件事：把那个机器人的权限清单翻出来逐项看了一遍，只保留了「发消息」；把群里另外两个已经没人用的机器人移除；然后给自己定了一条规矩——以后每加一个机器人，先问一句「它能看到什么」。
把整篇收成一句话：机器人能看到的，和你在同一个群里能看到的，是同一批东西。 所以加机器人这个动作，真正要管的是视野：给多少权限、允不允许它看到全部、以及它还值不值得留在这里。而那句可以随身带走的话只有八个字——要凭证等于要身份。
一句话总结：把机器人加进群之前该看的不是「它能做什么」，而是「它能看到什么」——机器人能看到的和你能看到的是同一批东西，所以每给一项权限就是多一个同等视角的旁观者；动作类权限（发消息、置顶）取消了能补回来，视野类（看过全部消息）给出去就收不回；能不能让它看到全部，很多时候由机器人那一侧决定、你只能决定留不留它；而任何要验证码、要两步验证密码、要扫码的请求都跟机器人无关——要凭证的就是在要身份，一律不给。