nicht angemeldet
hallo!
1.) So kann der Administrator doch immer noch die Passwörter einsehen.
Klar ist mir das ich als Admin zwar eh Daten in der Datenbank ändern kann, z.B. hochgeladene Objekte, aber man greift doch in ein Stück Privatsphere ein indem man die Passwörter sieht. Sind bestimmt bei vielen Kunden nicht nur auf der Seite die Passwörter.
Soll ich die Passwörter bevor sie in die DB geschrieben werden md5 verschlüsseln ? Wenn ja , wie kann ich dann das "Passwort vergessen ?"-Script realisieren. Kann dem Kunden ja nicht per mail ein riesenzeichensatz schicken.
also ich würd es wie folgt anstellen (eigentlich ganz einfach). du erstellst ein zufallspasswort, scpeicherst es verschlüsselt (beispielsweise mit md5) in der db und schickst es aber unverschlüsselt an die mailadresse.
bei der passwortabfrage gibt der user das passwort dann ein und bevor du es auf gleichheit vergleich verschlüsselst du die eingabe wieder. fertig ist das script. doch eigentlich ganz einfach oda?
sollte er es mal vergessen so generierst du wieder nen neues pw, löscht das alte und gehst dann genauso wie oben vor (verschlüsselt speichern, an user senden etc...)
tschau