2FA-Code-Pruefung: Zeitzonen-Fehler und Eingabe-Normalisierung

login.php erzeugte expires_at mit PHPs date(), verify_2fa.php verglich
gegen MySQLs NOW(). Webserver (secureserver.net) und Datenbankserver
(mysql2fda.netcup.net) liegen bei verschiedenen Anbietern und sind
unabhaengig voneinander konfiguriert. Laeuft PHP in UTC und MySQL in
Europe/Berlin, liegt expires_at (PHP-Zeit + 5 Minuten) zwei Stunden
vor NOW() - jeder Code gilt sofort als abgelaufen und wird als
"Falscher oder abgelaufener Code" abgewiesen.

Die Ablaufzeit wird jetzt beim INSERT per DATE_ADD(NOW(), INTERVAL 5
MINUTE) berechnet. Erzeugung und Pruefung benutzen damit dieselbe Uhr,
unabhaengig davon, wie die beiden Server eingestellt sind.

Ausserdem:
- Der eingegebene Code wird auf Ziffern reduziert. Aus HTML-Mails
  kopierte Codes schleppen oft Leerzeichen oder geschuetzte
  Leerzeichen mit, die den Hash-Vergleich scheitern liessen.
- Abgelaufener Code und falscher Code werden getrennt gemeldet, damit
  ein solcher Fall kuenftig ohne Raten eingegrenzt werden kann.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

intern/login.php

@@ -32,17 +32,19 @@ if (!empty($_POST['email']) && !empty($_POST['passwort'])) {
             ->execute(['uid' => $user['id']]);
 
         // 2FA-Code
-        $code      = random_int(100000, 999999);
-        $codeHash = hash('sha256', $code);
-        $expires  = date('Y-m-d H:i:s', time() + 300);
+        $code     = random_int(100000, 999999);
+        $codeHash = hash('sha256', (string)$code);
 
         $pdo->prepare("
+            -- Ablaufzeit bewusst per NOW() in SQL berechnen: Webserver und
+            -- DB-Server stehen bei verschiedenen Anbietern und koennen
+            -- unterschiedliche Zeitzonen haben. verify_2fa.php prueft
+            -- ebenfalls gegen NOW(), damit beide dieselbe Uhr benutzen.
             INSERT INTO intern_2fa_codes (user_id, code, expires_at)
-            VALUES (:uid, :code, :expires)
+            VALUES (:uid, :code, DATE_ADD(NOW(), INTERVAL 5 MINUTE))
         ")->execute([
-            'uid'     => $user['id'],
-            'code'    => $codeHash,
-            'expires' => $expires
+            'uid'  => $user['id'],
+            'code' => $codeHash
         ]);
 
         SendMailMessageSilent(