Telegram限制一般機器人傳送Widget，私人聊天也受影響

Telegram限制一般機器人在私人聊天中傳送HTML Widget（小工具），使用者與機器人對話時也無法收到新的Widget訊息。

Telegram Bot API的GitHub儲存庫自14日凌晨起出現開發者回報，指出在私人聊天傳送Widget時會收到「INPUT_MEDIA_WIDGET_NOT_ALLOWED」錯誤。回報者表示，限制出現前，同一個機器人已成功傳送約120個Widget。

這項回應與訊息長度或HTML格式錯誤不同，代表系統不允許傳送Widget。Telegram Bot API貢獻者levlam在GitHub表示：「目前一般機器人即使在私人聊天中也無法使用Widget。」

Telegram於9日推出Bot API 10.4，新增傳送Widget的功能。Widget是由機器人以HTML、CSS和JavaScript製作的小型介面，可直接顯示在訊息中，讓使用者不用跳轉到其他頁面，就能查看資訊或按下按鈕。

Telegram開發文件列出的Widget用途包括顯示價格、投票和遊戲。這項功能可將聊天中的互動介面，連結到由機器人處理的請求。

Widget在Telegram App的受限執行環境中運作，無法直接連上外部網路。繪製介面的程式碼與後續更新的資料也分開處理。

功能推出時，正式環境中的Widget傳送範圍僅限機器人與使用者的私人聊天。本報先前曾報導Telegram公開Widget與TON支付，並將正式使用範圍限於私人對話。

這次連開發文件列為支援範圍的私人聊天，也限制一般機器人傳送新的Widget，顯示文件說明與實際運作出現落差。

Widget與迷你應用程式的運作方式不同。Widget是嵌入聊天訊息中的介面；迷你應用程式則透過按鈕或連結，在另一個網頁畫面中開啟服務。

功能公開後，Widget與聊天內應用程式的安全性也引發討論。本報先前曾報導Telegram在無點擊攻擊疑慮下限制新註冊聊天內應用程式。

Telegram創辦人兼執行長帕維爾·杜洛夫(Pavel Durov)在自己的Telegram頻道表示：「光是收到訊息，不會讓你遭到駭客攻擊。」他主張，攻擊者必須先誘使使用者執行第三方服務才能發動攻擊，相關途徑也已在伺服器端封鎖。

對虛擬資產使用者而言，Widget可向內建錢包提出付款或簽名請求。Telegram開發文件也說明了透過Widget提出錢包請求的功能。

錢包交易會在另外開啟的錢包視窗中進行，使用者確認機器人、金額與收款地址後再核准。因此，已確認的Widget傳送限制不足以證明錢包交易本身已停止。

此次確認的措施僅限一般機器人在私人聊天中傳送新的Widget訊息，不代表迷你應用程式全面停擺，也不代表已造成虛擬資產損失。