2FA-Code-Pruefung: Zeitzonen-Fehler und Eingabe-Normalisierung

login.php erzeugte expires_at mit PHPs date(), verify_2fa.php verglich
gegen MySQLs NOW(). Webserver (secureserver.net) und Datenbankserver
(mysql2fda.netcup.net) liegen bei verschiedenen Anbietern und sind
unabhaengig voneinander konfiguriert. Laeuft PHP in UTC und MySQL in
Europe/Berlin, liegt expires_at (PHP-Zeit + 5 Minuten) zwei Stunden
vor NOW() - jeder Code gilt sofort als abgelaufen und wird als
"Falscher oder abgelaufener Code" abgewiesen.

Die Ablaufzeit wird jetzt beim INSERT per DATE_ADD(NOW(), INTERVAL 5
MINUTE) berechnet. Erzeugung und Pruefung benutzen damit dieselbe Uhr,
unabhaengig davon, wie die beiden Server eingestellt sind.

Ausserdem:
- Der eingegebene Code wird auf Ziffern reduziert. Aus HTML-Mails
  kopierte Codes schleppen oft Leerzeichen oder geschuetzte
  Leerzeichen mit, die den Hash-Vergleich scheitern liessen.
- Abgelaufener Code und falscher Code werden getrennt gemeldet, damit
  ein solcher Fall kuenftig ohne Raten eingegrenzt werden kann.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

intern/verify_2fa.php

@@ -15,16 +15,23 @@ $error_msg = '';
 
 if ($_SERVER['REQUEST_METHOD'] === 'POST' && !empty($_POST['code'])) {
 
-    $userId   = (int)$_SESSION['2fa_userid'];
-    $codeHash = hash('sha256', $_POST['code']);
+    $userId = (int)$_SESSION['2fa_userid'];
 
-    // 2FA-Code prüfen
+    // Aus HTML-Mails kopierte Codes enthalten haeufig Leerzeichen oder
+    // geschuetzte Leerzeichen. Der Code besteht immer aus sechs Ziffern.
+    $eingabe  = preg_replace('/\D/', '', (string)$_POST['code']);
+    $codeHash = hash('sha256', $eingabe);
+
+    // Der Ablauf wird in SQL geprueft (NOW()), nicht in PHP: der Webserver
+    // und der DB-Server stehen bei verschiedenen Anbietern und koennen in
+    // unterschiedlichen Zeitzonen laufen. Wuerde die Ablaufzeit in PHP
+    // erzeugt und gegen NOW() verglichen, waere jeder Code sofort
+    // "abgelaufen". Ablauf und Tippfehler werden getrennt gemeldet.
     $stmt = $pdo->prepare("
-        SELECT id 
+        SELECT id, (expires_at > NOW()) AS noch_gueltig
         FROM intern_2fa_codes
         WHERE user_id = :uid
           AND code = :code
-          AND expires_at > NOW()
         LIMIT 1
     ");
     $stmt->execute([
@@ -34,7 +41,7 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && !empty($_POST['code'])) {
 
     $row = $stmt->fetch(PDO::FETCH_ASSOC);
 
-    if ($row) {
+    if ($row && $row['noch_gueltig']) {
 
         // Code löschen (Einmalverwendung)
         $pdo->prepare("DELETE FROM intern_2fa_codes WHERE user_id = :uid")
@@ -79,7 +86,9 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST' && !empty($_POST['code'])) {
         exit;
     }
 
-    $error_msg = 'Falscher oder abgelaufener Code.';
+    $error_msg = $row
+        ? 'Der Code ist abgelaufen. Bitte melden Sie sich erneut an, damit wir Ihnen einen neuen Code schicken können.'
+        : 'Der eingegebene Code war nicht korrekt.';
 }
 
 include("templates/header.inc.php");