clemensandClaude Opus 5
6d903ac4fc
intern/ enthaelt dieselben Patientendaten wie der Adminbereich und war bisher genauso ungeschuetzt. config.inc.php aktiviert den Token-Filter jetzt fuer beide Verzeichnisse. Eigenen AJAX-Code oder Nicht-HTML-Ausgaben gibt es dort nicht, die Umstellung betrifft nur Formulare. intern/login.php rief nach dem Include ein zweites session_start() auf und setzte danach session.gc_maxlifetime und session.cookie_lifetime per ini_set(). Beides lief ins Leere, weil die Sitzung zu dem Zeitpunkt schon laeuft, und erzeugte Warnungen. Die Lebensdauer kommt aus session_set_cookie_params() in config.inc.php. 13 Dateien begannen mit einem UTF-8-BOM. Die drei Bytes gehen vor dem Include raus, womit die Header gesendet sind und session_set_cookie_params() sowie session_start() in config.inc.php scheitern - genau die Flags, um die es hier geht. Sichtbar wird das nur ohne output_buffering, aber darauf sollte sich die Sitzungssicherheit nicht verlassen. Nachgeprueft mit output_buffering=0 und error_reporting=E_ALL: admin/ und intern/ melden keine Header- oder Sessionwarnungen mehr, POSTs ohne Token liefern 403, mit Token laufen sie durch. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
102 lines
3.8 KiB
PHP
102 lines
3.8 KiB
PHP
<?php
|
|
#error_reporting(E_ALL);
|
|
#ini_set('display_errors', 1);
|
|
#ini_set('log_errors', 1);
|
|
// optional: ini_set('error_log', __DIR__.'/php-error.log');
|
|
|
|
ob_start();
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
// Hinweis: hier standen zwei ini_set() auf session.gc_maxlifetime und
|
|
// session.cookie_lifetime. Beide liefen ins Leere, weil die Sitzung zu
|
|
// diesem Zeitpunkt schon laeuft - PHP ignoriert Session-Einstellungen
|
|
// dann und meldet eine Warnung. Die Lebensdauer des Cookies kommt aus
|
|
// session_set_cookie_params() in inc/config.inc.php (30 Tage).
|
|
include(__DIR__ . "/../inc/password.inc.php");
|
|
|
|
$error_msg = "";
|
|
|
|
if (!empty($_POST['email']) && !empty($_POST['passwort'])) {
|
|
|
|
$stmt = $pdo->prepare("SELECT id, passwort, email FROM intern_users WHERE email = :email LIMIT 1");
|
|
$stmt->execute(['email' => $_POST['email']]);
|
|
$user = $stmt->fetch(PDO::FETCH_ASSOC);
|
|
|
|
if ($user && password_verify($_POST['passwort'], $user['passwort'])) {
|
|
|
|
session_regenerate_id(true);
|
|
|
|
$_SESSION['2fa_userid'] = (int)$user['id'];
|
|
|
|
// Alten Code löschen
|
|
$pdo->prepare("DELETE FROM intern_2fa_codes WHERE user_id = :uid")
|
|
->execute(['uid' => $user['id']]);
|
|
|
|
// 2FA-Code
|
|
$code = random_int(100000, 999999);
|
|
$codeHash = hash('sha256', (string)$code);
|
|
|
|
$pdo->prepare("
|
|
-- Ablaufzeit bewusst per NOW() in SQL berechnen: Webserver und
|
|
-- DB-Server stehen bei verschiedenen Anbietern und koennen
|
|
-- unterschiedliche Zeitzonen haben. verify_2fa.php prueft
|
|
-- ebenfalls gegen NOW(), damit beide dieselbe Uhr benutzen.
|
|
INSERT INTO intern_2fa_codes (user_id, code, expires_at)
|
|
VALUES (:uid, :code, DATE_ADD(NOW(), INTERVAL 5 MINUTE))
|
|
")->execute([
|
|
'uid' => $user['id'],
|
|
'code' => $codeHash
|
|
]);
|
|
|
|
$mailOk = SendMailMessageSilent(
|
|
$con,
|
|
$user['email'],
|
|
'Ihr Login-Code für Praxis-Creutzburg.de',
|
|
"Ihr 2FA-Code lautet: <b>$code</b><br><br>
|
|
Geben Sie diesen Code niemals weiter."
|
|
);
|
|
|
|
if ($mailOk) {
|
|
header('Location: verify_2fa.php');
|
|
exit;
|
|
}
|
|
|
|
// Ohne zugestellten Code kommt der Benutzer auf verify_2fa.php nicht
|
|
// weiter. Statt ihn dort warten zu lassen, den Versuch zuruecknehmen
|
|
// und es hier sagen. Die Ursache steht im Server-Log.
|
|
$pdo->prepare("DELETE FROM intern_2fa_codes WHERE user_id = :uid")
|
|
->execute(['uid' => $user['id']]);
|
|
unset($_SESSION['2fa_userid']);
|
|
|
|
$error_msg = "Der Login-Code konnte gerade nicht per E-Mail versendet werden. "
|
|
. "Bitte versuchen Sie es in ein paar Minuten erneut oder rufen Sie uns an.";
|
|
}
|
|
|
|
// Nur setzen, wenn oben nicht schon eine genauere Meldung entstanden ist
|
|
// (z. B. weil der Code nicht versendet werden konnte).
|
|
if ($error_msg === "") {
|
|
$error_msg = "E-Mail oder Passwort war ungültig";
|
|
}
|
|
}
|
|
|
|
|
|
$email_value = isset($_POST['email']) ? htmlentities($_POST['email']) : "";
|
|
|
|
include("templates/header.inc.php");
|
|
?>
|
|
|
|
<div class="container small-container-330 form-signin">
|
|
<form action="login.php" method="post">
|
|
<h2 class="form-signin-heading">Login</h2>
|
|
<?php if(!empty($error_msg)) echo $error_msg; ?>
|
|
<label for="inputEmail">E-Mail</label>
|
|
<input type="email" name="email" class="form-control" placeholder="E-Mail" value="<?php echo $email_value; ?>" required>
|
|
<label for="inputPassword">Passwort</label>
|
|
<input type="password" name="passwort" class="form-control" placeholder="Passwort" required>
|
|
<button class="btn btn-lg btn-primary btn-block" type="submit">Login</button>
|
|
</form>
|
|
</div>
|
|
|
|
<?php include("templates/footer.inc.php"); ?>
|