Нормальная авторизация на сайте через Telegram

Copy
const randomId = Math.random().toString(36).substring(2, 15);
const linkEl = document.getElementById('telegram-login');
 
linkEl.href = `https://t.me/MyBot?start=tga_${randomId}`;
 
// этот обработчик сработает при клике по ссылке, он будет делать запросы на бекенд, проверяя, не произошла ли авторизация
linkEl.addEventListener('click', async () => {
	const get = url => fetch(url).then(res => res.json());
	const sleep = ms => new Promise(resolve => setTimeout(resolve, ms));
 
	let attempts = 0;
 
	// совершаем 30 попыток с паузой в секунду между ними
	while (attempts < 30) {
		const data = await get(`/auth/telegram?id=${randomId}`);
		if (data.success) {
			handleSuccessfulAuth(data);
			break;
		}
		attempts++;
		await sleep(1000);
	}
});
 
function handleSuccessfulAuth(data) {
	console.log('Мы успешно авторизовались!', data);
	// тут можно сохранить токен или выполнить ещё какую-то логику
}
 
// ваш html:
<a href="#" id="telegram-login">
	Авторизоваться через Telegram
</a>;

Copy
const express = require('express');
const cookieParser = require('cookie-parser');
const TelegramBot = require('node-telegram-bot-api');
const { TemporaryMap } = require('@tiny-utils/temporary');
 
const BOT_TOKEN = '1234567890:AAH-1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZ'; // ваш токен
 
const app = express();
app.use(cookieParser());
 
const bot = new TelegramBot(BOT_TOKEN, { polling: true });
 
// тут мы храним связку ID -> авторизационный ключ
const map = new TemporaryMap(1 * 60 * 1000); // 1 минута
 
bot.on('message', async msg => {
	if (msg.from && msg.text?.startsWith('/start')) {
		const id = msg.text.split(' ')[1];
		if (id && id.startsWith('tga_')) {
			const sessionId = id.slice(4); // удаляем префикс tga_
 
			// тут ваша логика сохранения пользователя в базу
			const userInDatabase = await saveUserToDatabase(msg.from);
 
			// а тут ваша логика генерации токена - например, JWT
			const token = await generateToken(userInDatabase);
 
			map.set(id, token);
		}
	}
});
 
// этот endpoint будет вызываться из фронта для получения статуса авторизации
app.get('/auth/telegram', (req, res) => {
	const { id } = req.query;
 
	if (map.has(id)) {
		const token = map.get(id);
 
		// нашли токен? записываем в куки
		res.setCookie('auth', token);
 
		return res.json({ success: true });
	} else {
		return res.json({ success: false });
	}
});

Copy
// делаем запрос с куками
const get = url => fetch(url, { credentials: 'include' }).then(res => res.json());
 
const sessionId = await get('/auth/telegram/init-session');
const linkEl = document.getElementById('telegram-login');
 
linkEl.href = `https://t.me/MyBot?start=tga_${sessionId}`;
 
// оставляем ниже всё как есть (логику авторизации по клику)

Copy
// новые импорты:
import { randomBytes } from '@tiny-utils/crypto';
import { uint8ArrayToHex } from '@tiny-utils/bytes';
 
// ... остальные импорты как были, допустим у нас появился middleware, который в req.user кладёт данные текущего пользователя
 
// создаём ещё один map, который будет хранить связку ID сессии -> сайт + ID пользователя
const sessionMap = new TemporaryMap(1 * 60 * 1000); // 1 минута
 
bot.on('message', async msg => {
	if (msg.from && msg.text?.startsWith('/start')) {
		const id = msg.text.split(' ')[1];
		if (id && id.startsWith('tga_')) {
			const sessionId = id.slice(4); // удаляем префикс tga_
 
			const session = sessionMap.get(sessionId);
			if (!session) {
				bot.sendMessage(msg.from.id, 'Сессия не найдена');
				return;
			}
 
			const { userId, origin } = session;
 
			// тут ваша логика сохранения пользователя в базу, по userId можно привязать к существующему аккаунту
			// по origin - определить сайт, откуда пришёл пользователь
			const userInDatabase = await saveUserToDatabase(origin, userId, msg.from);
 
			// а тут ваша логика генерации токена - например, JWT
			const token = await generateToken(userInDatabase);
 
			map.set(id, token);
		}
	}
});
 
app.get('/auth/telegram/init-session', (req, res) => {
	if (!req.headers.origin) {
		return res.status(400).json({ error: 'Origin is required' });
	}
 
	const id = uint8ArrayToHex(randomBytes(8)); // 16 символов рандомного hex
 
	// сохраняем данные для бота
	sessionMap.set(id, {
		userId: req.user ? req.user.id : null,
		origin: req.headers.origin,
	});
 
	return res.json(id);
});
 
// endpoint /auth/telegram не изменился. при желании, в него можно добавить логику проверки origin