Я лет 5 назад закончил с авторизацией с помощью множества костылей. Что делал, помню уже поверхностно. В частности пришлось пользователю добавить пару пользовательских свойств и перед активацией пихать туда back_url и backet_id, потому как если пользователь проходил по ссылке с мыла, часто ссылка могла открыться в другом браузере с пустой корзиной и главной страницей. Но обновляться регулярно все это отбило желание напрочь. Так и работаю, в принципе все сносно, только вот боты пачками теперь регятся, не смотря на то, что гугл капчу прикрутил...