clemensandClaude Opus 5
19f1ac7ec8
Neu: inc/security.inc.php, eingebunden von inc/config.inc.php. CSRF Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60 bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf mailtemplate.php schickt das Token als Feld mit. Session-Cookie-Flags config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in admin/ und intern/ riefen session_start() vor dem Include auf, womit die Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt, config.inc.php startet die Sitzung nur noch, wenn keine laeuft. admin/logout.php musste umgestellt werden, weil dort session_destroy() vor dem Include stand; die Cookies werden jetzt mit denselben Parametern geloescht, mit denen sie gesetzt wurden. Brute-Force Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle, laeuft der Login wie bisher - gleiche Vorgehensweise wie bei securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die Fehlversuche des Kontos ab. Passwort vergessen admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage(); beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde. Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne Token liefert 403, mit Token laeuft der Login normal, der sechste Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/ SameSite. Oeffentliche Seiten sind unveraendert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
106 lines
3.1 KiB
PHP
106 lines
3.1 KiB
PHP
<?php
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
include("templates/header.inc.php")
|
|
?>
|
|
<div class="container main-container registration-form">
|
|
<h1>Registrierung</h1>
|
|
<?php
|
|
$showFormular = true; //Variable ob das Registrierungsformular anezeigt werden soll
|
|
|
|
if(isset($_GET['register'])) {
|
|
$error = false;
|
|
$vorname = trim($_POST['vorname']);
|
|
$nachname = trim($_POST['nachname']);
|
|
$email = trim($_POST['email']);
|
|
$passwort = $_POST['passwort'];
|
|
$passwort2 = $_POST['passwort2'];
|
|
|
|
if(empty($vorname) || empty($nachname) || empty($email)) {
|
|
echo 'Bitte alle Felder ausfüllen<br>';
|
|
$error = true;
|
|
}
|
|
|
|
if(!filter_var($email, FILTER_VALIDATE_EMAIL)) {
|
|
echo 'Bitte eine gültige E-Mail-Adresse eingeben<br>';
|
|
$error = true;
|
|
}
|
|
if(strlen($passwort) == 0) {
|
|
echo 'Bitte ein Passwort angeben<br>';
|
|
$error = true;
|
|
}
|
|
if($passwort != $passwort2) {
|
|
echo 'Die Passwörter müssen übereinstimmen<br>';
|
|
$error = true;
|
|
}
|
|
|
|
//Überprüfe, dass die E-Mail-Adresse noch nicht registriert wurde
|
|
if(!$error) {
|
|
$statement = $pdo->prepare("SELECT * FROM users WHERE email = :email");
|
|
$result = $statement->execute(array('email' => $email));
|
|
$user = $statement->fetch();
|
|
|
|
if($user !== false) {
|
|
echo 'Diese E-Mail-Adresse ist bereits vergeben<br>';
|
|
$error = true;
|
|
}
|
|
}
|
|
|
|
//Keine Fehler, wir können den Nutzer registrieren
|
|
if(!$error) {
|
|
$passwort_hash = password_hash($passwort, PASSWORD_DEFAULT);
|
|
|
|
$statement = $pdo->prepare("INSERT INTO users (email, passwort, vorname, nachname) VALUES (:email, :passwort, :vorname, :nachname)");
|
|
$result = $statement->execute(array('email' => $email, 'passwort' => $passwort_hash, 'vorname' => $vorname, 'nachname' => $nachname));
|
|
|
|
if($result) {
|
|
echo 'Du wurdest erfolgreich registriert. <a href="login.php">Zum Login</a>';
|
|
$showFormular = false;
|
|
} else {
|
|
echo 'Beim Abspeichern ist leider ein Fehler aufgetreten<br>';
|
|
}
|
|
}
|
|
}
|
|
|
|
if($showFormular) {
|
|
?>
|
|
|
|
<form action="?register=1" method="post">
|
|
|
|
<div class="form-group">
|
|
<label for="inputVorname">Vorname:</label>
|
|
<input type="text" id="inputVorname" size="40" maxlength="250" name="vorname" class="form-control" required>
|
|
</div>
|
|
|
|
<div class="form-group">
|
|
<label for="inputNachname">Nachname:</label>
|
|
<input type="text" id="inputNachname" size="40" maxlength="250" name="nachname" class="form-control" required>
|
|
</div>
|
|
|
|
<div class="form-group">
|
|
<label for="inputEmail">E-Mail:</label>
|
|
<input type="email" id="inputEmail" size="40" maxlength="250" name="email" class="form-control" required>
|
|
</div>
|
|
|
|
<div class="form-group">
|
|
<label for="inputPasswort">Dein Passwort:</label>
|
|
<input type="password" id="inputPasswort" size="40" maxlength="250" name="passwort" class="form-control" required>
|
|
</div>
|
|
|
|
<div class="form-group">
|
|
<label for="inputPasswort2">Passwort wiederholen:</label>
|
|
<input type="password" id="inputPasswort2" size="40" maxlength="250" name="passwort2" class="form-control" required>
|
|
</div>
|
|
<button type="submit" class="btn btn-lg btn-primary btn-block">Registrieren</button>
|
|
</form>
|
|
|
|
<?php
|
|
} //Ende von if($showFormular)
|
|
|
|
|
|
?>
|
|
</div>
|
|
<?php
|
|
include("templates/footer.inc.php")
|
|
?>
|