ага, и по ходу мы с php уходим на js
ага, осталось всего-навсего сделать контроль авторизованного: сессия умерла, а он кнопку нажал и отправил запрос в области авторизованного ) короче дело ясное, что дело тёмное, благодарю.
let response = await fetch(url);
if (response.ok) {
let json = await response.json();
let loginbox = document.getElementById('loginBox')
let userbox = document.getElementById('userBox')
loginbox.style.display = 'none'
// сохраняем токен
// заполняем шаблон
userbox.style.display = '';
} else {
alert("Ошибка HTTP: " + response.status);
}