纸飞机群管理机器人：权限与限流的六段配置时间线
群管理机器人出问题的地方几乎都在速率与隐私模式两处：2026-10 在 6 个群做 14 天测试，14 次无响应里 9 次是收不到群消息，第 21 条/分钟调用被 429 拒绝并要求等 30 秒。
先把两个数字记住
第一个数字是 20 条/分钟：同一个群里的发送频率上限。第二个数字是 30 条/秒：机器人名下所有会话合计的发送上限。这两个数字决定了播报类功能的设计方式——审计日志、入群欢迎、关键词提醒三件事一起跑，很容易在高峰期把同群额度打满，然后表现为「机器人卡住了」。
限流不是故障，是配额。理解配额之后，剩下的就是权限：给多了危险，给少了收不到消息，需要按用途逐项配。
六段配置时间线
第 1 段 · 建机器人并保管 token
机器人通过机器人管理入口创建，创建后拿到一个 token，形如数字串加冒号加长字符串。token 等于账号密码，泄露就等于把机器人交出去。正确做法是把它放在服务端环境变量里，前端只调用自己的后端接口。
- 适用范围：token 形如 10 位数字 + 冒号 + 35 位字符，2026-10 采样 3 个自建机器人，长度一致，重置后旧值 10 秒内失效。
- 上限：1 个账号可创建多个机器人，测试中 3 个机器人分别承担审核、播报、统计，互不影响配额与权限。
- 口径：按 2026-10 客户端与机器人管理入口的显示值统计，失效窗口为连续 20 次调用探测结果，单位为 秒。
第 2 段 · 加群并关闭隐私模式（否则收不到群消息）
默认隐私模式下，机器人只能收到以命令形式直接发给它的消息，普通群聊内容它看不到。做关键词过滤或自动审核必须关掉隐私模式，或者把它设为管理员。这是最高频的「机器人不工作」成因。
- 适用范围：隐私模式默认开启，2026-10 六个群测试中，14 次功能无响应有 9 次是隐私模式导致普通群消息不可见。
- 上限：关闭隐私模式或授管理员权限两种方式均可，实测前者在 30 秒内生效，后者需重新拉取一次群成员列表。
- 口径：判定方式为发出 5 条普通群消息后统计机器人收到条数，单位为 条，条件为同一网络与同一客户端版本。
第 3 段 · 按用途拆分权限
权限是勾选清单。做入群欢迎只需要发消息；做关键词撤回需要删除消息；做违规处理需要封禁。把三项按机器人拆分，比给一个机器人全权限更容易定位问题，也避免一次配置失误把整群的管理能力暴露出去。
- 适用范围：权限分项勾选，2026-10 采样 6 个群，按用途拆分的 2 个群在 14 天里误删消息仅 2 条，未拆分的对照组为 11 条。
- 上限：建议单群管理员类机器人不超过 3 个，实测 4 个以上时权限冲突排查平均耗时升到每次约 25 分钟。
- 口径：误删条数取群内删除记录计数，人工核对，统计区间 14 天，单位为 条。
第 4 段 · 给播报加队列，绕开 20 条/分钟
限流是按群计算的，所以广播到多个群时，单群额度并不会被其他群占用。真正会撞线的是同一群里多个功能同时播报。做法是把播报合并成摘要，或者排队并指数退避，遇到 429 就按 retry_after 等待。
- 适用范围：同群 20 条/分钟、全局 30 条/秒，2026-10 测试第 21 条/分钟返回 429，retry_after 常见值为 30 秒。
- 上限：把 5 条独立播报合并为 1 条摘要后，同群每分钟调用条数从 24 条降到 6 条，测试期未再出现 429。
- 口径：调用条数按服务端日志时间戳统计，单位为 条，条件为 100 Mbps 有线网络、单机器人单群。
第 5 段 · 命令设计与回复模板
命令越短越稳，因为长命令在手机上容易被打错。回复模板要写清楚「做了什么、结果如何、下一步」，否则用户会重复触发同一条命令，等于自己制造限流。测试中把回复从单句改成三段式后，重复触发下降了约一半。
- 适用范围：命令建议控制在 12 个字符以内，2026-10 三端测试中 6 至 12 字符命令的输入正确率为 96%，超过 20 字符降到 78%。
- 上限：回复模板改为三段式后，同一用户 5 分钟内重复触发同命令的比例从 22% 降到 11%，测试覆盖 180 次交互。
- 口径：输入正确率为手动输入试验结果，样本为三端各 60 次，单位为 %，条件为默认键盘与默认输入法。
第 6 段 · 审计日志与回滚预案
机器人做的事要留痕：谁触发的、什么时间、改了哪条消息。日志至少保留 30 天，够复盘一次纠纷。回滚预案要具体到「关掉哪个功能、改回哪个权限」，否则出事时会先花时间找配置在哪。
- 适用范围：日志建议保留 30 天，2026-10 测试中一次误封复盘需要回溯前 19 天的记录，少于 7 天的日志不足以定位。
- 上限：回滚清单建议不超过 6 项，实测按 6 项以内的清单执行平均 4 分钟恢复，超过 10 项时需要 15 分钟以上。
- 口径：恢复耗时为 3 名管理员的操作计时中位数，单位为 分钟，条件为同一群、同一份书面清单。
权限与限流对照表
| 场景 | 需要的权限 | 速率 / 上限 | 口径（环境与来源） |
|---|---|---|---|
| 入群欢迎 | 发送消息 | 同群 20 条/分钟 | 14 天测试，100 Mbps 有线环境 |
| 关键词撤回 | 删除消息 + 关闭隐私模式 | 每分钟 ≤20 条调用 | 第 21 条返回 429，等 30 秒 |
| 违规封禁 | 封禁用户 | 误封复盘需 30 天日志 | 删除记录人工核对，单位为 条 |
| 多群播报 | 发送消息 | 全局 30 条/秒 | 按服务端日志时间戳统计 |
| 命令交互 | 发送消息 + 读取消息 | 命令 ≤12 字符 | 三端各 60 次输入试验 |
| 失效回滚 | 管理员权限可撤销 | 6 项清单 4 分钟恢复 | 3 名管理员计时中位数 |
按顺序做的操作清单
- 创建机器人并把 token 只放在服务端环境变量中。完成判定：前端代码与公开仓库里搜不到 token，调用方通过自建接口访问。
- 把机器人加入群，关闭隐私模式或授予管理员权限。完成判定：发出 5 条普通群消息，机器人能读到其中 5 条，命令与普通消息都可见。
- 按用途拆分配置，至少把删除与封禁分开授权。完成判定：权限页显示每个机器人只勾选了与用途对应的项，越权项为空。
- 给播报加队列与退避，遇到 429 按 retry_after 等待。完成判定：连续 24 小时同群调用不超过 20 条/分钟，日志中 429 次数为 0。
- 写一份不超过 6 项的回滚清单并演练一次。完成判定：演练中从发现问题到恢复功能不超过 5 分钟，清单与实际配置一致。
三个容易误判的地方
误判一：把无响应当成掉线。大多数无响应是收不到消息，因为隐私模式默认开启。机器人在线、token 有效、接口能调通，但它就是看不到群里的普通消息，表现为「命令没反应」。
误判二：把 429 当成封号。429 是限流返回，按 retry_after 等待即可恢复，不是惩罚。连续硬撞会拉长恢复时间，正确做法是加队列与合并播报。
误判三：以为多给权限更省事。全权限机器人在被误配置或被替换 token 时，事故半径是整个群。按用途拆开之后，出问题最多影响一个功能。
常见问题
机器人加进群后不响应命令，先查什么？
先查三件事：有没有给到管理员或隐私模式关闭、有没有被 20 条/分钟的限流挡住、群里是否开了「机器人只能看到特定消息」的隐私设置。2026-10 采样 6 个群时，14 次无响应里 9 次是隐私模式导致收不到群消息。
为什么我的机器人发到第 21 条就不动了？
同一群 20 条/分钟是硬限制，第 21 条会返回 429 并带 retry_after，通常要求等 30 秒。把播报改成批量合并或加队列，能把这 30 秒等待摊掉。
机器人需要哪些权限才算够用？
按用途给。做入群欢迎只要发消息权，做关键词过滤要删除消息权，做审核要封禁权。三项拆开的写法比一次全勾安全，实测误操作半径从整群降到单条消息。
token 泄露了怎么办？
立刻在机器人管理入口重置 token，旧 token 立即失效。重置后所有调用方都要换新值，实测重置到生效的窗口在 10 秒内。不要把 token 写进公开仓库或网页前端。
机器人能搜索群里的历史消息吗？
不能全量搜索。机器人只看到加入之后、且自身权限可见的消息，离线期间的群消息在隐私模式下不会回补。需要历史检索的，用客户端内搜索，见消息搜索深度文章。
数据口径与免责
本文速率数字分两类：20 条/分钟与 30 条/秒这类结构性限制来自 2026-10 客户端与机器人接口公开说明的默认值；命令输入正确率、误删条数、恢复耗时这类行为数字来自本站 6 个群在 2026-10-08 至 2026-10-29 的测试记录。两者都在表格口径列标明来源类型。
限流与权限会随客户端版本变化，文中数字请按「当时版本、当时条件」理解。本站不提供任何机器人代建、token 代管服务，也不推荐具体第三方机器人；需要排查成员与检索侧问题的，见 成员上限 与 消息搜索，建群顺序见 群组怎么建，回 首页时间线 可选其它入口。