申请 TG_API_ID / TG_API_HASH

在 my.telegram.org 免费申请，与 Telegram 用户账号绑定，每个账号只能创建一个应用。

申请步骤

打开 https://my.telegram.org，输入注册 Telegram 的手机号（国际格式，如 +8613800000000），点 Next；
接收登录码：验证码不会走短信，而是发到该账号 Telegram 客户端里 "Telegram" 服务账号的聊天中（形如 Login code: 12345），把它填回网页完成登录；
进入 API development tools；
填写应用表单并点 Create application：
- App title：应用名，用纯字母数字，如 spore
- Short name：小写字母+数字，如 sporebot
- URL、Description 可留空；Platform 任选，一般选 Desktop
记录凭据：提交成功后页面顶部会显示 App api_id 和 App api_hash，分别填入：
bash
```
TG_API_ID=1234567
TG_API_HASH=0123456789abcdef0123456789abcdef
```

ERROR 是服务端风控拦截，按命中概率从高到低排查：

提示：本节及下文的替代路线、冷却时长等内容均为社区经验总结，未经本项目验证，也不是 Telegram 官方规则；风控行为随时可能调整，实际以 my.telegram.org 官方页面为准，本项目不对申请成功率作任何保证。

换 IP（最主要原因）：机房 / 机场代理节点的 IP 基本必被拒。用与手机号归属地一致的住宅 / 家宽 IP 提交成功率最高（如 +86 手机号配香港 / 台湾节点）；
修正表单：URL 留空或填自己拥有的域名；App title 别太短太随意（如写成一句英文描述）；Description 写一两句自然语句而非单词；
浏览器：换 Chrome / Firefox 最新版，无痕模式并清掉该站缓存 cookie 后重试，多提交几次；
账号因素：刚注册没几天的账号基本会被拒，只能养几天再试。

凭据申请成功后不可删除或重建，但随时可重新登录同一页面再次查看。

以上都失败时的替代路线（按安全程度排序）：

自建 Cloudflare Worker 反代 my.telegram.org：风控拦的是出口 IP 而非账号，自己搭反代绕过，登录码不经过第三方；不要用网上现成的公共代理页，手机号和登录码会过陌生人的服务器；
手机浏览器 + 移动数据（不开 WiFi / 代理）提交：运营商出口 IP 属于住宅级，比机房 IP 干净；
用自己另一个注册较久的账号申请：api_id/api_hash 是应用级凭据，A 账号创建的应用可用于 B 账号的登录会话，凭据照常填进 .env；
等几天再试：风控有时效性，新注册账号几乎必被拒，养几天后再申请。

禁止的方式：网上公开的 api_id 会触发 API_ID_PUBLISHED_FLOOD（官方明确禁用）；付费"代申请"需要交出登录码，等于把账号交给陌生人。

这是频率限制锁，由反复重试触发，与风控拒绝（ERROR）不同：