用合法 SaaS 做外传通道
这一页拆解的是文章第三步：浏览器拿到数据后，如何借 api.telegram.org 这个合法域名把内容带出去，从而绕过基于域名黑名单的拦截。
① 目标页面形态（静态示意）
所有控件 disabled，页面没有任何 JS 读取它们。这里只呈现"长什么样"，不承载"能采什么" —— 那一步是钓鱼套件与演练工具的分界线。
② 传输链路（真实执行）
- 模式
EXFIL_MODE=mock- Token
未配置（仅服务端持有）- ChatID
未配置- 端点
未配置- 出口
直连（不使用环境变量代理）
点击后，服务端生成固定结构的负载并尝试投递。返回的是 Bot API 的原始响应（ok / description / 耗时）。
最近 10 次投递
| ID | 模式 | 结果 | HTTP | description | 耗时 | 时间 |
|---|---|---|---|---|---|---|
| 还没有投递记录 | ||||||
为什么 Token 不放前端：文章把 token 和 chat_id 明文写进页面 JS，任何人打开 DevTools 就能复用你的 bot ——
读走全部历史消息，或者往你的 bot 里灌垃圾把有用记录冲掉。这里 token 只存在于服务端
.env，浏览器拿到的永远是掩码后的形态。