Telegram Mini Apps: полный обзор платформы

<!-- Mini App — обычная веб-страница, которая открывается внутри Telegram -->
<script src="https://telegram.org/js/telegram-web-app.js"></script>
<style>
  /* Telegram передаёт тему пользователя CSS-переменными */
  body { background: var(--tg-theme-bg-color, #fff); color: var(--tg-theme-text-color, #000); }
</style>

<h1>Премиум-курс</h1>
<p id="hello"></p>

<script>
  const app = Telegram.WebApp;
  app.ready(); // интерфейс готов: Telegram убирает свою заставку

  const name = app.initDataUnsafe.user?.first_name ?? 'гость';
  document.getElementById('hello').textContent = `Привет, ${name}!`;

  // главная кнопка живёт в интерфейсе самого Telegram, внизу экрана
  app.MainButton.setText('Купить за 50 ⭐').show().onClick(async () => {
    // initData уходит на сервер: он проверяет подпись и создаёт счёт
    const res = await fetch('/api/invoice', { method: 'POST', body: app.initData });
    const { link } = await res.json();
    app.openInvoice(link, (status) => {
      if (status === 'paid') app.showAlert('Спасибо! Доступ открыт.');
    });
  });
</script>

<?php
declare(strict_types=1);

// initData подписан Telegram: проверяем на сервере и не верим браузеру
function verifyInitData(string $initData, string $botToken, int $maxAge = 3600): ?array
{
    parse_str($initData, $fields);
    $hash = $fields['hash'] ?? '';
    unset($fields['hash']);

    ksort($fields);
    $check = implode("\n", array_map(fn($k, $v) => "$k=$v", array_keys($fields), $fields));

    $secret = hash_hmac('sha256', $botToken, 'WebAppData', true);
    if (!hash_equals(hash_hmac('sha256', $check, $secret), $hash)) {
        return null;                                   // подделанные или повреждённые данные
    }
    if (time() - (int) ($fields['auth_date'] ?? 0) > $maxAge) {
        return null;                                   // данные слишком старые
    }
    return json_decode($fields['user'] ?? 'null', true);
}

<?php
declare(strict_types=1);

// счёт в Telegram Stars: цифровые товары внутри Telegram оплачиваются только так
function createStarsInvoice(string $botToken, string $title, int $stars, string $payload): string
{
    $api = getenv('TG_API') ?: 'https://api.telegram.org';
    $request = [
        'title'          => $title,
        'description'    => "Доступ: $title",
        'payload'        => $payload,              // номер вашего заказа, вернётся после оплаты
        'currency'       => 'XTR',                 // XTR = Telegram Stars
        'prices'         => [['label' => $title, 'amount' => $stars]],
        'provider_token' => '',                    // для Stars — пустой
    ];
    $context = stream_context_create(['http' => [
        'method'  => 'POST',
        'header'  => 'Content-Type: application/json',
        'content' => json_encode($request),
    ]]);
    $response = json_decode(file_get_contents("$api/bot$botToken/createInvoiceLink", false, $context), true);
    if (!($response['ok'] ?? false)) {
        throw new RuntimeException($response['description'] ?? 'Telegram API error');
    }
    return $response['result'];                    // ссылка для Telegram.WebApp.openInvoice()
}