WooCommerce: авторизация через социальные сети без плагинов — практическое руководство

Почему стоит реализовать авторизацию через социальные сети без плагинов?

Многие владельцы WooCommerce-магазинов стремятся упростить процесс входа для клиентов, предлагая авторизацию через популярные соцсети. Однако использование плагинов приводит к нагруженности сайта и часто конфликтам. Реализация через нативные методы с API соцсетей позволяет контролировать процесс, снизить риски безопасности и оптимизировать производительность.

Диагностика: что нужно проверить перед началом

• Наличие HTTPS на сайте — OAuth требует защищённого соединения.
• Активирован ли WooCommerce и настроена ли стандартная регистрация/авторизация.
• Доступ к консоли разработчика соцсетей (Facebook, Google) для создания приложений.
• Проверка конфликтов с текущими плагинами авторизации/регистрации.

Шаг 1. Создание приложения в соцсети и получение ключей

Для примера возьмём Google OAuth 2.0:

1. Перейдите в Google Cloud Console.
2. Создайте новый проект и активируйте API Google+ (или People API для новых проектов).
3. В разделе Credentials создайте OAuth 2.0 Client ID, указав тип "Web application".
4. В настройках укажите разрешённые URI редиректа: https://ваш_домен/wp-login.php?action=google_oauth_callback.
5. Сохраните Client ID и Client Secret для использования в коде.

Шаг 2. Добавляем кнопки авторизации в шаблон WooCommerce

Откройте файл wp-content/themes/ваша_тема/woocommerce/myaccount/form-login.php и вставьте кнопку для Google:

<?php
$google_oauth_url = site_url('wp-login.php?action=google_oauth_redirect');
?>
<a href="<?php echo esc_url($google_oauth_url); ?>" class="button google-login-button">Войти через Google</a>

Добавьте базовую стилизацию кнопки в CSS вашей темы.

Шаг 3. Реализация обработки OAuth в functions.php

Добавим обработку редиректа и колбэка:

add_action('init', function() {
    if (!is_user_logged_in()) {
        if (isset($_GET['action']) && $_GET['action'] === 'google_oauth_redirect') {
            $client_id = 'ВАШ_CLIENT_ID';
            $redirect_uri = site_url('wp-login.php?action=google_oauth_callback');
            $auth_url = 'https://accounts.google.com/o/oauth2/v2/auth?'
                . 'client_id=' . urlencode($client_id)
                . '&redirect_uri=' . urlencode($redirect_uri)
                . '&response_type=code'
                . '&scope=openid%20email%20profile'
                . '&access_type=offline';
            wp_redirect($auth_url);
            exit;
        }
        if (isset($_GET['action']) && $_GET['action'] === 'google_oauth_callback' && isset($_GET['code'])) {
            $code = sanitize_text_field($_GET['code']);
            $client_id = 'ВАШ_CLIENT_ID';
            $client_secret = 'ВАШ_CLIENT_SECRET';
            $redirect_uri = site_url('wp-login.php?action=google_oauth_callback');

            // Получаем токен
            $response = wp_remote_post('https://oauth2.googleapis.com/token', [
                'body' => [
                    'code' => $code,
                    'client_id' => $client_id,
                    'client_secret' => $client_secret,
                    'redirect_uri' => $redirect_uri,
                    'grant_type' => 'authorization_code',
                ],
            ]);

            if (is_wp_error($response)) {
                wp_die('Ошибка при получении токена.');
            }

            $body = json_decode(wp_remote_retrieve_body($response), true);
            if (empty($body['access_token'])) {
                wp_die('Токен не получен.');
            }

            // Получаем данные пользователя
            $user_info_response = wp_remote_get('https://www.googleapis.com/oauth2/v1/userinfo?access_token=' . $body['access_token']);
            if (is_wp_error($user_info_response)) {
                wp_die('Ошибка при получении данных пользователя.');
            }

            $user_info = json_decode(wp_remote_retrieve_body($user_info_response), true);

            if (empty($user_info['email'])) {
                wp_die('Email не получен.');
            }

            // Проверяем, есть ли пользователь с таким email
            $user = get_user_by('email', $user_info['email']);
            if (!$user) {
                // Создаем нового пользователя
                $random_password = wp_generate_password(12, false);
                $user_id = wp_create_user($user_info['email'], $random_password, $user_info['email']);
                if (is_wp_error($user_id)) {
                    wp_die('Ошибка при создании пользователя.');
                }
                wp_update_user([
                    'ID' => $user_id,
                    'display_name' => $user_info['name'],
                    'first_name' => $user_info['given_name'],
                    'last_name' => $user_info['family_name'],
                ]);
                $user = get_user_by('ID', $user_id);
            }

            // Авторизуем пользователя
            wp_set_current_user($user->ID);
            wp_set_auth_cookie($user->ID);

            wp_redirect(site_url('/my-account'));
            exit;
        }
    }
});

Проверка результата после внедрения

• Перейдите на страницу входа WooCommerce (/my-account).
• Нажмите кнопку «Войти через Google» — должна открыться страница Google для авторизации.
• После успешного входа должно произойти перенаправление в личный кабинет.
• Проверьте, что пользователь создан в базе с верным email и данными.
• Попробуйте выйти и войти повторно — вход должен проходить без ошибок.

Частые ошибки и как их исправить

• Ошибка «redirect_uri_mismatch»: проверьте, что URI редиректа в настройках Google совпадает с передаваемым в запросе.
• Пользователь не создаётся: убедитесь, что email из соцсети получен и уникален, проверьте права на создание пользователей.
• HTTP 500 при обработке токена: проверьте параметры запроса, наличие расширения curl, доступ к внешним URL.
• Неверные права доступа: убедитесь, что сайт работает по HTTPS и корректно обрабатывает сессии.

Практические советы по безопасности и производительности

• Всегда фильтруйте и проверяйте входящие данные через sanitize_text_field или соответствующие функции.
• Ограничьте scope OAuth только необходимыми правами (openid email profile).
• Храните Client Secret вне публичных папок, лучше в файле wp-config.php как константу.
• Кешируйте полученные данные пользователя, чтобы не делать лишние запросы к API.
• Используйте nonce и проверку referer, если расширяете функционал авторизации.

Сравнение вариантов реализации авторизации через соцсети