Telegram的api_hash是否需保密？Telethon客户端开发疑问

针对你在使用Telethon开发Telegram客户端时遇到的几个问题，我来逐一解答：

1. api_hash需要保密的要求是否属实？ #

完全属实。虽然api_id和api_hash不像账户密码那样直接关联你的账号安全，但它们是Telegram用来识别你的应用身份的核心凭证。如果泄露给他人，对方可以用你的应用标识发送API请求，一旦出现违规操作（比如批量发送垃圾消息、高频恶意请求），Telegram官方可能会限制甚至封禁你的应用，导致你自己的客户端彻底无法正常使用。所以必须严格避免将它们公开在源码、日志或任何可被公众访问的地方。

2. 如何安全分发源代码？ #

绝对不要把api_id和api_hash硬编码到源码里！推荐让用户自行提供这些信息，常见的实现方式有：

• 配置文件模板：创建一个示例配置文件（比如config.example.ini），里面留空api_id和api_hash，让用户复制为config.ini后填写自己的信息。代码中通过读取这个配置文件获取凭证，同时把config.ini加入.gitignore（如果用Git管理代码），避免提交到公共仓库。
• 环境变量读取：在代码中读取系统环境变量（比如TELEGRAM_API_ID和TELEGRAM_API_HASH），用户运行前只需提前设置好这两个环境变量即可。
• 命令行参数传入：允许用户在启动客户端时，通过命令行参数直接传入api_id和api_hash。

举个简单的配置文件实现示例：

# config.example.ini
[telegram]
api_id = 
api_hash = 

对应的Python读取逻辑：

from configparser import ConfigParser

config = ConfigParser()
config.read('config.ini')
api_id = int(config['telegram']['api_id'])
api_hash = config['telegram']['api_hash']

3. 分发的二进制文件中使用自己的api_id和hash是否安全？ #

不安全。因为二进制文件（比如PyInstaller打包的exe）可以通过反编译工具轻松提取出硬编码的api_id和api_hash，一旦泄露，同样会面临应用被封禁的风险。

如果必须分发二进制文件，建议：

• 专门为这个分发版本创建一个独立的Telegram应用（在my.telegram.org上可以创建多个应用），即使这个应用的凭证泄露，你可以直接在后台吊销它，不会影响你自己的其他应用。
• 仍然优先让用户在运行二进制时自行输入或通过配置文件提供api_id和api_hash，避免打包到二进制中。

内容的提问来源于stack exchange，提问作者Inom