Аутентификация

Поддерживаются два способа. Выбирайте по типу клиента — оба возвращают один и тот же auth-токен из таблицы se_session_auth.

① Bearer-токен — рекомендуется для мобильных

Stateless. Не требует cookie/session, не требует CSRF. Передавайте токен в заголовке Authorization: Bearer <token>.

# 1. получить токен (один раз)
curl -X POST https://beon.vip/api.php?act=auth_token_issue \
  -d email=USER -d password=PASS

# → {"ok":true,"result":{"token":"6a34...8251","token_type":"Bearer","user":{...}}}

# 2. каждый запрос с заголовком
curl https://beon.vip/api.php?act=auth_me \
  -H 'Authorization: Bearer 6a34...8251'

# 3. выйти
curl -X POST https://beon.vip/api.php?act=auth_token_revoke \
  -H 'Authorization: Bearer 6a34...8251'

Формат токена

40 символов hex (sha1). Это та же запись se_session_auth.session_auth_key, которая выдаётся при веб-логине, — оба канала живут в одной таблице.

Лайфтайм

По умолчанию токен «persistent» — живёт неограниченно. Сборщик мусора удаляет токены, не использованные дольше 6 месяцев (см. user_auth_token_delete). last_used обновляется на каждом запросе.

② Cookie + CSRF — для веб-клиента

# 1. получить csrf-токен (создаст PHPSESSID)
curl -c jar -b jar https://beon.vip/api.php?act=csrf_token
# → {"ok":true,"result":{"token":"abc..."}}

# 2. логин
curl -c jar -b jar -X POST https://beon.vip/api.php?act=auth_login \
  -H 'X-CSRF-Token: abc...' \
  -d email=USER -d password=PASS

# 3. читать — куки достаточно
curl -b jar https://beon.vip/api.php?act=auth_me

# 4. писать — куки + X-CSRF-Token
curl -b jar -X POST https://beon.vip/api.php?act=im_send \
  -H 'X-CSRF-Token: abc...' \
  -d convo_id=1 -d text=hi

Actions раздела

curl -H 'Authorization: Bearer <token>' https://beon.vip/api.php?act=auth_me

curl -X POST -d email=USER -d password=PASS \
  https://beon.vip/api.php?act=auth_token_issue