по их согласию

- юзер пытается залогиниться
- тг шлет ему форму с подтверждением
- юзер принимает
- тебе на сервер приходит инфа о юзере + токен который его идентифицирует
- ты записуешь эту инфу в свою базу данных и создаешь сессию (еще одна таблица в бд которая подвязана под юзера)
- куки с сессией отправляет твоим сервером назад юзеру и храниться в его браузере
- каждый раз когда юзер делает запрос на другие страницы твоего сайта, то куки сессии тоже шлется тебе на сервер
- по токену в кукисе сервер понимает какой юзер делал реквест (в бд есть связь сессия-юзер)

спасибо, буду пробовать

сессию уже давно не хранят в бд

да, не молодежно

а как сейчас делают?

да и кукисы это прошлый век, и многостраничные приложения

то ли же JWT и SPA

в жвтокен

да, без шуток это лучше

до тех пор пока тебе не понадобиться инвалидировать скомпрометированые токены

устал уже сам заполнять, пришлось написать скрипт

403

на фронте вылогин

Отлично

Автоматизмруем рутину

И создаём 42 день

так если кул-хацкер перехватил валидный токен юзера

то сможет юзать его как хочет

и хранить вечно токен