api_id和api_hash是否为机密？含该信息的Telethon分发软件是否安全？

绝对不要把api_id和api_hash打包进你要分发的软件里，这是极高风险的行为，原因如下：

• 凭证极易被提取：无论你是把代码编译成exe，还是用pyinstaller之类的工具打包，懂逆向技术的人都能轻松从程序文件里扒出这两个明文值。一旦泄露，任何人都可以用你的API身份创建Telegram客户端，发起各类请求。
• 账号风控与责任问题：如果有人用你的凭证进行违规操作（比如批量发送垃圾信息、过度爬虫），Telegram的反滥用系统会直接关联到你的API账号，轻则限制API权限，重则永久封禁你的API资格，甚至牵连你自己的个人Telegram账号。

可行的替代方案 #

• 引导用户自行获取凭证：在软件首次启动时，提示用户去Telegram官方的API管理页面注册自己的api_id和api_hash，让用户将这两个值输入到程序中，你可以把它们加密存储在本地配置文件里，每次启动时读取使用。
• 后端代理模式：搭建一个后端服务，由后端持有api_id和api_hash并处理Telethon的API请求，你的客户端只负责和后端交互，转发用户的操作指令。这种方式能完全隐藏凭证，但需要你维护服务器，同时要处理请求限流、负载均衡等问题，避免后端被风控。

内容的提问来源于stack exchange，提问作者Davide