clemens/praxis-creutzburg-web
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Ablaufpruefung fuer Passwort-Reset-Codes wieder aktiviert

Browse Source 
Die Pruefung war auskommentiert, Reset-Links galten damit unbegrenzt,
obwohl die E-Mail "innerhalb der naechsten 24 Stunden" verspricht.

Sie wird jetzt in SQL ausgewertet statt mit strtotime()/time():
passwortcode_time wird in passwortvergessen.php mit NOW() gesetzt, also
mit der Uhr des DB-Servers (Europe/Berlin), waehrend der Webserver in
UTC laeuft. Eine Pruefung in PHP waere um diese zwei Stunden falsch -
dieselbe Ursache, die schon die 2FA-Codes unbrauchbar gemacht hat.
So benutzen Setzen und Pruefen dieselbe Uhr.

Ausserdem: fetch() liefert false und nicht null, wenn kein Benutzer
gefunden wird. Die Bedingung $user === null hat deshalb nie gegriffen,
und der Code lief mit false weiter in den Array-Zugriff.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
clemens
2026-09-02 20:36:02 +02:00
co-authored by Claude Opus 5
parent f8bcfebc9e
commit 3b08be899c
1 changed files with 18 additions and 6 deletions
Download Patch File Download Diff File Expand all files Collapse all files
intern/passwortzuruecksetzen.php
+18 -6
View File
@@ -13,19 +13,31 @@ $showForm = true;
$userid = $_GET['userid']; $userid = $_GET['userid'];
$code = $_GET['code']; $code = $_GET['code'];
//Abfrage des Nutzers //Abfrage des Nutzers.
$statement = $pdo->prepare("SELECT * FROM intern_users WHERE id = :userid"); //Die Gueltigkeit des Codes wird bewusst in SQL geprueft: passwortcode_time wird
//in passwortvergessen.php mit NOW() gesetzt, also mit der Uhr des DB-Servers.
//Der Webserver laeuft in UTC, der DB-Server in Europe/Berlin - eine Pruefung mit
//PHPs strtotime()/time() waere um genau diese Differenz falsch. So benutzen
//Setzen und Pruefen dieselbe Uhr, unabhaengig von den Zeitzonen beider Server.
$statement = $pdo->prepare("
SELECT *,
(passwortcode_time IS NOT NULL
AND passwortcode_time > DATE_SUB(NOW(), INTERVAL 24 HOUR)) AS code_noch_gueltig
FROM intern_users
WHERE id = :userid
");
$result = $statement->execute(array('userid' => $userid)); $result = $statement->execute(array('userid' => $userid));
$user = $statement->fetch(); $user = $statement->fetch();
//Überprüfe dass ein Nutzer gefunden wurde und dieser auch ein Passwortcode hat //Überprüfe dass ein Nutzer gefunden wurde und dieser auch ein Passwortcode hat
if($user === null || $user['passwortcode'] === null) { //(fetch() liefert false, nicht null, wenn es keinen Treffer gibt)
if(!$user || $user['passwortcode'] === null) {
error("Der Benutzer wurde nicht gefunden oder hat kein neues Passwort angefordert."); error("Der Benutzer wurde nicht gefunden oder hat kein neues Passwort angefordert.");
} }
#if($user['passwortcode_time'] === null || strtotime($user['passwortcode_time']) < (time()-24*3600) ) { if(!$user['code_noch_gueltig']) {
# error("Dein Code ist leider abgelaufen. Bitte benutze die Passwort vergessen Funktion erneut."); error("Dein Code ist leider abgelaufen. Bitte benutze die Passwort vergessen Funktion erneut.");
#} }
//Überprüfe den Passwortcode //Überprüfe den Passwortcode