Как организовать аутентификацию пользователя телеграм бота в отдельном сервисе через JWT?

Question

[neveruma]

У меня есть restful приложение, которое занимается мониторингом физического состояния человека

Его функционал:
Хранение информации об аккаунте пользователя
Аутентификация и авторизация через JWT токен
Хранение информации о самочувствие пользователя в конкретный день

Планирую разработать web-приложение и телеграм бота, с помощью которых можно будет взаимодействовать с системой
Сейчас работаю над телеграм ботом, который является отдельным сервисом и обрабатывает запросы к боту

Мне нужно реализовать функционал авторизации через вышеупомянутый сервис, чтобы у пользователя был доступ к чтению и редактированию его информации

Пользователь не должен вводить какие-либо креды для авторизации, она должна происходить автоматически через привязку к пользователю номера телефона или идентификатора пользователя телеграм

Пока что решение, которое я хочу использовать:
Сделать отдельный endpoint для авторизации через телеграм бота и защитить его ключём api

Но есть ощущение, что этот вариант не оптимальны и можно пойти как-то проще/безопаснее

Если кто-то сталкивался с этой проблемой или знает решение, прошу рассказать свои мысли. Если исходя из вопроса, можно сделать вывод, что я не знаю какой-то теории, которая приводит к решению, то прошу поделиться)

Answer 1

[Rsa97]

через привязку к пользователю номера телефона или идентификатора пользователя телеграм

И зачем вам какой-то "endpoint для авторизации через телеграм бота"? Раз у вас есть привязка и поступил запрос через телеграм, то вы и так знаете, какой пользователь сделал запрос.

Comments

[neveruma]

Ну вот запрос приходит от пользователя в телеграм бот (сервис, который обрабатывает сообщения от пользователя)

Дальше телеграм бот должен получить или отредактировать информацию о пользователе через restfull сервис
Для этого нужно иметь JWT токен, выпущенный для пользователя
Выпустить его можно через этот же restfull сервис

Возможно я где-то усложняю себе задачу и не понимаю этого

[Rsa97]

neveruma, Бот может обращаться к сервису со своим служебным токеном, указывая, что он выполняет операцию от имени определённого пользвателя.