Я не уверен, какие именно варианты использования вы хотите точно запретить, но в целом ваше приложение может проверять каждый входящий запрос и решать, как и как оно хочет на него реагировать.
Например, вы всегда получите идентификатор пользователя, который отправил бот или команду sla sh. Вы можете использовать это для фильтрации наших пользователей, которые не должны иметь доступ.
Обновление
Чтобы ограничить ваше приложение каналом приложения, вам необходимо сделать следующее:
При получении запроса от пользователя сначала откройте прямой канал сообщений для пользователя от пользователя бота. Это всегда даст вам идентификатор канала канала приложения.
Затем ответьте прямым сообщением в этом канале приложения
или альтернативно проверьте если получен запрос от канала приложения и попросить пользователя говорить только в канале приложения, если это не так.
См. также этот ответ о том, как это работает подробно.