passwort zusenden ...

[Wurzel]

... aus gegebenem anlass:
http://www.php-resource.de/forum/sho...7&pagenumber=3 (s.u.)

userverwaltung => passwortvergabe => speichern in db

problem:
1. passwort als klartext in db = alle meckern/hacker freut sich u.U.
2. passwort verschlüsselt (z.b. md5, o.ä.) = user meckert, wenn passwort vergessen

ich hätte gerne mal gewusst wie das die profis unter euch lösen.
bei vergessenem passwort neu anmelden, kann doch nicht die
lösung sein, oder?

gruss
wurzel

[goth]

Nein ... natürlich nicht ... schau' Dir doch das Handling von vBulletin an ...

[Wurzel]

super idee goth ...

... wenn du jetzt noch nen tipp hast, wo ich die (kostenlose) lite version
downloaden kann (jedenfalls nicht bei vbulletin.com), schau ichs mir gerne
an.

übrigens gegoogelt hab ich auch:
http://www.google.de/search?hl=de&ie...a=lr%3Dlang_de

sehr aufschlussreich wieviel hacker-seiten darüber gelistet werden
muss man sich da sorgen machen?

[goth]

Mögliches Vorgehen ...

1. Password-Request durch Benutzer ...
2. E-Mail zusenden das neues Kennwort angefordert ... darin Link zum anklicken ...
3. Auf der folgende Seite fragen ob neues Kennwort??
3. Erst wenn Link geklickt und bestätigt wird altes Kennwort ungültig ... ein neues wird generiert und zugesand ...
4. In der Mail eventuell Link auf das Benutzerprofile damit das Kennwort gleich wieder geändert werden kann.

[Wurzel]

auf den ersten blick zwar "von hinten durch die brust ins auge",
auf den 2. aber logisch.

werds mal morgen umsetzen, hab bestimmt ne site wo user-passwörter
im klartext gespeichert werden. *schäm*

thx wurzel

[goth]

[oli]

Hi
vielleicht hilft dir der Code weiter.

if ($REQUEST_METHOD=="POST" && $action=="ok")
{
  if ($TPL_username)
  {
    $sql="SELECT email FROM users WHERE nick=\"". AddSlashes($TPL_username)."\"";

    $res=mysql_query ($sql);
    if ($res)
    {
      if (mysql_num_rows($res)>0)
      {
          //-- Generate a new random password and mail it to the user
          $EMAIL = mysql_result($res,0,"email");

          $NEWPASSWD = substr(uniqid(md5(time())),0,6);
          include "includes/newpasswd.inc.php";
          mail($to,$subject,$message,$from);

          //-- Update database
          $query = "update users set password='".md5($MD5_PREFIX.$NEWPASSWD)."' WHERE nick=\"".AddSlashes($TPL_username)."\";";
          $res = mysql_query($query);
          if(!$res)
          {
            print "An error occured while accessing the database: $query<BR>".mysql_error();
            exit;
          }

          include "header.php";
          include "templates/template_passwd_sent_php.html";
          include "footer.php";
          exit;
      }
      else
      {
        $TPL_err=1;
        $TPL_errmsg=$flr_100;
      }
    }
    else
    {
      $TPL_err=1;
      $TPL_errmsg=$flr_001;
    }
  }
  else
  {
    $TPL_err=1;
    $TPL_errmsg=$flr_112;
  }
}

if(!$action || ($action && $TPL_errmsg))
{
  include "header.php";
  include "templates/template_forgotpasswd_php.html";
}


  include "footer.php";
  $TPL_err=0;
  $TPL_errmsg=""; 

[MelloPie]

mail($to,$subject,$message,$from);

//-- Update database
$query = "update users set password='".md5($MD5_PREFIX.$NEWPASSWD)."' WHERE nick=\"".AddSlashes($TPL_username)."\";";
$res = mysql_query($query);
if(!$res)
{ 

ich würde ne Mail erst abschicken, wenn auch auf der DB das pwd geändert ist.
Ausserdem fehlt hier newpasswd.inc.php in der sicher
der $MD5_PREFIX definiert ist...

[oli]

Nee da stehen nur die Mailinfos in der newpasswd.inc.php.

Der Code sollte auch nur als Beispiel sein.