WooCommerce: как реализовать авторизацию пользователя по ссылке без пароля

В чем суть задачи: авторизация по уникальной ссылке

В интернет-магазине на WooCommerce иногда требуется реализовать авторизацию пользователей без ввода пароля, например, для упрощения доступа с персональных писем, акций или быстрых ссылок из мессенджеров. Такой подход позволяет автоматически входить в аккаунт, используя уникальную ссылку с токеном, исключая необходимость ввода логина и пароля.

Это особенно актуально для повышения конверсии в email-рассылках и упрощения UX на мобильных устройствах.

Диагностика: почему стандартная авторизация не подходит

Стандартный процесс WordPress и WooCommerce требует ввода логина и пароля. Если требуется автоматизация входа — нужно реализовать собственный механизм проверки токена и автоматического логина.

Некоторые плагины предлагают подобный функционал, но они могут быть избыточными или небезопасными без правильной настройки.

Пошаговое решение: создание ссылки для входа по токену

1. Генерация токена при создании пользователя или вручную

Добавим пользовательское поле для хранения одноразового токена. Например, при регистрации пользователя или в админке.

function generate_user_login_token( $user_id ) {
    $token = wp_generate_password( 20, false ); // Генерируем случайный токен
    update_user_meta( $user_id, '_login_token', $token );
    return $token;
}

Пример вызова:

$token = generate_user_login_token( $user_id );
// Формируем ссылку
$link = site_url( '/?login_token=' . $token );

2. Обработка ссылки и автоматический вход

В functions.php или в плагине добавим обработку параметра login_token в URL:

add_action( 'init', function() {
    if ( isset( $_GET['login_token'] ) ) {
        $token = sanitize_text_field( wp_unslash( $_GET['login_token'] ) );

        // Ищем пользователя с таким токеном
        $users = get_users( [
            'meta_key' => '_login_token',
            'meta_value' => $token,
            'number' => 1,
            'count_total' => false
        ] );

        if ( ! empty( $users ) ) {
            $user = $users[0];

            // Авторизуем пользователя
            wp_set_current_user( $user->ID );
            wp_set_auth_cookie( $user->ID );

            // Удаляем токен, чтобы ссылка была одноразовой
            delete_user_meta( $user->ID, '_login_token' );

            // Редирект на главную или целевую страницу без параметра
            wp_safe_redirect( remove_query_arg( 'login_token' ) );
            exit;
        }
    }
} );

3. Генерация ссылки для рассылки или личного кабинета

Для пользователя можно сделать кнопку или ссылку:

$token = get_user_meta( $user_id, '_login_token', true );
if ( ! $token ) {
    $token = generate_user_login_token( $user_id );
}
$link = site_url( '/?login_token=' . $token );
echo '<a href="' . esc_url( $link ) . '">Войти без пароля</a>';

Проверка результата: как убедиться, что авторизация работает

• Создайте тестового пользователя и сгенерируйте токен.
• Перейдите по ссылке https://your-site.ru/?login_token=TOKEN из браузера, где вы не авторизованы.
• После перехода пользователь должен автоматически войти в систему без запроса пароля.
• Повторный переход по той же ссылке должен не входить в систему, так как токен удалён.
• Проверьте, что сессия установлена через wp_get_current_user().

Частые ошибки и их исправление

• Токен не генерируется или не сохраняется: Проверьте права записи в базу и синтаксис функции update_user_meta.
• Авторизация не происходит: Убедитесь, что хук init используется, и код выполняется до загрузки шаблона.
• Токен не удаляется после входа: Проверьте, что вызов delete_user_meta срабатывает без ошибок.
• Переход по ссылке вызывает зацикливание редиректов: Убедитесь, что после авторизации происходит редирект без параметра login_token.
• Безопасность: возможность входа по просроченному или украденному токену: Реализуйте ограничение срока действия токена (через дополнительное поле _login_token_expiry) и проверку времени.

Практические советы по безопасности и производительности

• Используйте одноразовые токены и удаляйте их после использования.
• Добавьте срок жизни токена, например, 1 час с момента создания, и проверяйте его при входе.
• Используйте HTTPS для всех ссылок с токенами, чтобы исключить перехват трафика.
• Ограничьте количество активных токенов на пользователя, чтобы избежать накопления.
• Если нужно массовое создание ссылок, автоматизируйте генерацию и отправку с помощью WP Cron или в рамках плагина.

Сравнение вариантов реализации авторизации по ссылке