Я бы посоветовал идти немного другим путем.
У вас есть свой пользователь [user], а попасть в него - авторизироваться под ним - можно разными путями. Списком путей будут все варианты авторизации у вас на сайте, и он может пополняться, например
- Прямая авторизация на сайте через почту/телефон и пароль
- VK
- OK
- Google
- Yandex
- ...
- StackEchange
При этом когда человек входит на ваш сайт, у него есть выбор:
- Ввести почту и пароль -ИЛИ- ввести телефон и пароль (смотря как у вас принято)
- Воспользоваться сторонней авторизацией на других сайтах - и список принятых у вас авторизаций
Пользователь выбирает удобный для себя способ, вы знаете этот выбор, и проверяете его вход по набору источников авторизации из первого списка. Все источники фактически будут отличаться только способом авторизации, реализацией в коде и URL для запроса авторизации. По сути результат авторизации может иметь три исхода:
- Успешная. Почта/пароль подходят, ответ от сайта внешней авторизации успешен и так далее, пользователь найден. Все понятно, авторизируем
- Не успешная. Почта/пароль не подходят, ответ от сайта авторизации отрицательный, все плохо. Что делать тоже понятно - введите пароль еще раз или восстановление пароля
- Успешный, но не до конца. Ответ от сайта авторизации успешный, но у вас нет пользователя, связанного с таким аккаунтом. Здесь тоже все понятно, автоматически создаем у себя пользователя с таким источником авторизации и даем ему вход
Структура базы в данном случае довольно проста:
Таблица пользователей:
- [user_id] - уникальный внутренний ID пользователя у вас на сайте, у каждого пользователя свой
- [fields...] - любые поля, которые характерны именно для этого пользователя. Для одного.
Таблица источников авторизации:
- [user_id] - уникальный ID пользователя, к которому ведет этот источник авторизации
- [type] - тип авторизации, один из поддерживаемых на вашем сайта
- [fields...] - любые поля, которые характерны для вход именно этого пользователя именно с этого источника авториазции
Таблица текущих произведенных авторизаций:
- [user_id] - уникальный ID пользователя, для которого произведена авторизация
- [expire] - метка окончания авторизации, может быть либо 0/1, либо метка времени, либо вообще может не быть (вы можете просто удалять авторизацию при ее окончании, если вам не надо знать, кто когда через что заходил)
- [cookies] - некое поле или поля, которые содержат уникальный ключ/токен или что-то еще, что точно идентифицирует именно этот единичный вход пользователя. Это может быть кука браузера, которую отдали пользователю при авторизации через почту/пароль, или токен авторизации через VK
- [stats] - любые поля, описывающие именно этот вход пользователя, для статистики или безопасности. Сюда можно записывать браузер, машину, клиента, IP-адрес, все что угодно, если оно вам нужно. Обычно это сборная строка из нескольких параметров, но ее может вообще не быть, если она вам не нужна
Вот в целом и вся логика.
Алгоритм:
- Пользователь заходит на сайт
- Вынимаем сразу у него куки/ключи/токены/что-то еще, что может говорить о его авторизованности
- Проверяем их на валидность и работоспособность. Если они еще действуют - просто авторизуем пользователя. Конец
- Предлагаем пользователю выбрать вариант авторизации
- По выбранному варианту получаем источник авторизации (поле [type] в таблице источников авторизации), проводим попытку авторизации этим способом.
- Если успешно - получаем [user_id] и авторизуем. Конец
- Если успешно, но такого пользователя у нас еще нет, молча создаем его и авторизуем. Конец
- Если не успешно - просим повторить вход с выбором варианта или восстановить пароль. Можно начислить штраф на вход, паузу или показать капчу для продолжения, полезно. Только не переборщите с защитой, вводить капчу каждый раз на каждый чих - это перебор.