Локальный чат-бот в коробке: где заканчивается обработчик события

Для бота в коробке нужны две независимые части: регистрация приложения/бота и обработчик событий. Размещение PHP-файла внутри портала не делает входящий POST доверенным.

Обработчик должен сопоставить событие с известной установкой приложения и проверить предусмотренные протоколом данные авторизации. Затем можно передать событие в собственный сервис бота.

Токены и настройки храните вне публичного JavaScript. Веб-обработчик лучше оставить небольшим: проверка запроса, постановка задания, ответ. Долгий поиск по CRM или обращение к внешней модели выполняются отдельным заданием.

Не копируйте в публичную точку входа NOT_CHECK_PERMISSIONS как универсальное решение проблем доступа. У вызова внутреннего API должны быть явно определены доверенный контекст и допустимые действия.