Telegram 登录第三方网站：那个按钮交出去的到底是什么？（保姆级详解）
很多人在 Telegram 里收到一条 "登录第三方网站" 的请求时，第一反应是紧张：这是不是把我的账号密码交出去了？是不是能看我聊天记录？这会不会是钓鱼？
答案可能和你担心的正好相反。Telegram 的这套第三方登录机制，设计的初衷恰恰是 "尽量少给"—— 它交出去的东西比绝大多数人以为的少得多，但少不等于零。你点下那个按钮，有些信息是固定要给的，有些是默认保留的，还有一类是" 你不注意就被顺手拿走的附加权限 "。
下面从六个层面，把这件事彻底讲清楚。
一、先搞清楚：这个 "登录" 到底是不是 OAuth
要理解 Telegram 的第三方登录，必须先把它和微信、Google 那套 OAuth 登录区分开。
微信 / Google 的第三方登录，走的是标准的 OAuth 协议：网站把你重定向到微信授权页，你确认 "允许 XX 应用访问我的昵称、头像、地区"，微信再发一个令牌回来。整个过程里，网站能主动向平台 "要" 一串权限清单。
Telegram 的机制不完全一样。它不叫 OAuth，而是基于 Login Widget / Login Button（登录小部件）实现。流程大致是：
- 第三方网站在页面上嵌入一个 Telegram 登录按钮；
- 你点击后，会跳转到 Telegram 官方授权界面（看起来像网页，但背后是 Telegram 自己的校验系统）；
- 你确认授权，Telegram 通过一道加密签名把一组身份字段回传给网站；
- 网站凭这套签名数据识别你是哪个账号。
关键在于第 3 步：Telegram 回传的不是 "你的整个账号数据包"，而是一个被裁剪过的、最小的身份信封。它更像 "递出一张写着几个固定字段的名片"，而不是 "交出整本档案"。
所以先记住一个结论：Telegram 登录不是把你的账号交出去，而是把一份经过签名的身份凭证交出去。 凭证上有哪些内容，是下面几节的重点。
二、默认交出的东西：这四样，躲不掉
Telegram 登录按钮被设计成 "最小必要披露"，但有几项身份字段是必须回传的，网站拿到之后就能把你和其他人区分开。它们分别是：
1. user_id（固定用户 ID）
这是最重要的一个。它是一串唯一的数字（例如 123456789），在你注册 Telegram 的那一刻就分配给你，终身不变。它是网站用来 "认出你" 的核心凭据 —— 你换昵称、换头像、改用户名，这个 ID 都不会变。从隐私角度讲，这串数字本身并不暴露你的手机号或邮箱，但它具有 "指纹" 属性：网站可以长期追踪同一个 ID 的行为。
2. first_name /last_name（姓氏与名字）
就是你在 Telegram 资料里填的 "名" 和 "姓"。注意，它回传的是你主动填在资料页的名称，跟你手机通讯录、身份证无关。很多人随便填了个昵称，那网站拿到的就是那个昵称而已。
3. username（用户名 @xxx，仅在有设置时）
只有当你设置了 @用户名 时，这才会被交出去。如果你从没设置过，这个字段就是空的，网站拿不到。
4. photo_url（头像链接）
这是你头像图片的访问地址，不是图片文件本身。网站加载这张图就能显示你的头像。
这四样是 "默认必给" 的清单。换句话说，只要你点了登录，网站至少能知道：你的数字 ID、你填的名字、你公开的头像。这是这套机制的基本盘，想不交是不行的。
三、默认不会交出去的东西：这份清单比上面更长
很多人的恐惧其实集中在下面这一大块 —— 而 Telegram 在这部分做得相当克制。以下内容，默认情况下第三方网站完全拿不到：
- 手机号：除非你额外授权，否则网站拿不到你的手机号。这是很多人最在意的隐私点。
- 聊天记录：网站无法读取你的任何对话内容。
- 联系人列表 / 群列表：你加了哪些群、有哪些联系人，网站一律看不到。
- 消息内容、转发记录：与你相关的消息往来，不在回传范围内。
- 验证码 / 会话 Token / 密码：这些敏感凭证更不可能交出。
所以，"登录第三方网站" 和 "把账号交给网站" 是两回事。 你点那个按钮，网站看到的是上面第四节那个小信封；你手机里的 Telegram 世界，它一点都摸不到。
这也是为什么 Telegram 官方反复强调：登录第三方网站，不等于授权对方访问你的账号内容。账号控制权、聊天数据、联系人网络，都牢牢留在 Telegram 这边。
四、容易被忽略的 "附加权限"：它们才是真正要小心的
如果说前面两节是 "固定动作"，那下面这一类就是 "可选项"—— 默认不给，但网站可以申请，而且很多人点确认时根本没细看。
最典型的两项附加权限是：
1. 允许网站对应的机器人给你发私信
这是最常见的 "隐形附加"。你登录的网站，背后往往绑定了一个 Telegram 机器人（Bot）。登录时如果授权了 "允许该机器人联系我"，这个机器人之后就能直接给你的 Telegram 发消息 —— 通知、验证码、营销推送都可能是它的用途。
2. 极少数场景下申请手机号
Telegram 官方机制里存在一个 "请求电话号码" 的权限，但实际使用的网站非常少，而且会明确弹窗征询。真正要求手机号的第三方，几乎都会走单独的手机号验证流程，而不是藏在登录按钮里。
这两项的共同特点是：它们都需要你额外确认，不会默认生效。 但问题在于，很多授权页把附加权限和默认授权放在同一个确认按钮里，勾选状态写得又小又不起眼，用户往往直接点了 "允许" 就完事。这正是 "那个按钮交出去的到底是什么" 最值得警惕的部分 ——不是默认四项，而是那两项被顺手带走的附加权限。
五、我该怎么看 "它要了什么"？三步自查法
为了避免稀里糊涂把附加权限交出去，给你一套任何时候都能用的自查流程：
第一步：看授权来源
只在 Telegram 官方域名（如 telegram.org 或官方 bot 授权页）弹出的确认，才可能是正牌授权。任何伪装成 "Telegram 登录" 的陌生弹窗，先停下来确认域名对不对。
第二步：读授权提示
确认页一般会列出网站将获取的信息和申请的权限。先看它写的是 "将获取：用户名、头像" 还是 "将获取：手机号、允许发送消息"。后者要格外警惕。
第三步：给不紧要的网站用一次性确认
如果只是临时登录，优先选择 "不保存登录状态" 或用完后立刻在 Telegram 里撤回授权（具体做法见下一节）。原则是：能不给手机号就不给，能不长期授权就不长期授权。
六、登录后想反悔？随时可以收回
Telegram 设计这套机制时，也给了你完整的 "后悔药"—— 所有通过登录按钮给出去的授权，你都可以在 Telegram 设置里单独收回。
路径：Telegram → 设置 → 隐私和安全 → 已授权应用 / 连接的应用。
在这里你能看到 "通过 Telegram 登录过的所有第三方应用 / 网站" 清单，每一行都能查看它拿到的基础信息和附加权限。点进去，可以撤销授权。撤销后，那个网站再用它存着的凭证来 "认你"，就会失败，相当于把那张名片当场撕掉。
建议的习惯是：凡是只用了一次、不打算继续用的网站，登录完就顺手撤掉。 这样即使网站后来被拖库、数据泄露，你这边也能第一时间切断关联。
总结：那个按钮交出去的是什么，一句话说清
- 必交：固定 user_id、你填的名字、公开头像、（有则交）@用户名。
- 绝不默认交：手机号、聊天记录、联系人、群列表、验证码、密码。
- 可能被带走的附加权限：允许关联机器人给你发私信、极少数场景的手机号申请 —— 这两项都需要你额外确认。
- 永远能收回：授权后随时可在 "已授权应用" 里撤销。
最后再强调一遍开头的判断：Telegram 登录第三方网站，不是把账号交出去，而是递出一张被裁剪过的签名身份凭证。 真正要防的，不是这四项必交信息，而是那个 "顺手点掉的附加权限确认框"。养成 "先看权限、用后即撤" 的习惯，你在第三方网站上的 Telegram 登录就会既安全又干净。