Hallo Cryptic,

Wer gibt mir das Recht das ich nur einer Paula erlaube das sie ihren Namen nutzen darf

Danach fragt mein EMail-Provider auch nicht. Wenn ich die Mailadresse angela.merkel@web.de registrieren will (nicht probiert) und unsere BABuKa (Bald-Alt-Bundeskanzlerin) vor mir da war, dann krieg ich die Adresse nicht. Punkt.

Computer haben die lästige Eigenschaft, eindeutige Schlüssel zu verlangen. Wenn Du "Paula" als Name mehrfach zulassen willst, dann darfst Du den Username nicht als Login-Schlüssel verwenden. Denn wie willst Du sonst den Konflikt zwischen paula.x@web.de, paula.y@gmx.de, Paul.A.Dingsmann@example.org und peter.aula@example.net lösen, die alle vier und mit gutem Recht als Username paula haben wollen? Hinzu kommt: Wenn das eine Seite ist, wo die Benutzer Dinge veröffentlichen können - wer blickt noch durch, wenn da 4 Beiträge von paula, Paula, PaulA und PAula stehen? Von den Gemeinheiten der verwechselbaren Unicode-Glyphen, die Mudguard ansprach, will ich gar nicht erst reden. Da gibt's eine ganze Branche, die das für Fake-URL ausnutzt.

Ich persönlich finde einen Login, der case sensitive ist, auch nicht benutzerfreundlich. Man vergisst das schon mal, und dann wird's chaotisch (das Selfwiki hatte einen Rolf B und einen Rolf b, einer von beiden war ein Irrtum von mir, weil ich dachte, ich hätte noch keine User-ID).

Ich wußte ja nicht das man gleich gehängt, geköpft und gevierteilt wird wenn man mal nachfragt.

Deine eigene Geschmeidigkeit lässt auch etwas zu wünschen übrig. Felix hat sich mit dem von Dir zitierten Passus gegen deinen Löschwunsch ausgesprochen, nicht gegen die Nachfrage.

Das Jammertal bezieht sich meiner Auffassung darauf, dass Du ein Problem lösen willst, das Du nicht lösen musst. D.h. Du machst es Dir unnötig schwer. Nach meiner Auffassung gibt es kein Recht auf eine freie Wahl des Username. Da gilt das Windhundprinzip. Bei einem Domain-Name kann ich als eine Schmitz AG vermutlich erfolgreich gegen den Privatmann Josef Schmitz klagen, der die Domain schmitz.com hält. Bei Vanity URLs auf Facebook kann sowas vielleicht auch passieren. Aber bei "normalen" Benutzernamen? Ich denke nicht.

Es gibt auch kein Recht darauf, dass Benutzer mit einem vom Usernamen abweichenden Klarnamen dargestellt werden. Das ist in vielen Foren eine Option, aber weder Recht noch Pflicht. Im Gegenteil, viele User wollen den Klarnamen gar nicht.

Wenn meine Auffassung falsch ist und es tatsächlich ein Anrecht gibt, lasse ich mich gerne durch reputable Quellen eines Besseren belehren.

Rolf

Lieber Ralf,

Anmeldenamen sollten nichts mit den BenutzerInnennamen zu tun haben!

meinst Du mit Anmeldenamen login name? Also das, was bei der Kombi aus Benutzernamen und Passwort einzugeben ist? Der von Dir genannte BenutzerInnenname ist dann wohl der Klarname oder volle Name? Dann würde ich Dir widersprechen. Wenn aber nicht, sehe ich für einen Anmeldenamen keinen Anwendungsfall.

Liebe Grüße

Felix Riesterer

Hallo Cryptic,

Achja Programmieren ist schon lustig

Wenn die Zeilen, über die du klagst, genau so aussehen wie Du sie hier hinschreibst, ist das alles andere als lustig. Wenn der nächste Absatz für Dich redundant ist, dann ignoriere ihn…

Ein SQL_Fragment WHERE name = $_POST['blabla'] funktioniert nicht, weil man beim String-Parsing (oder Variable-Parsing) einen Array-Schlüssel nicht in Anführungszeichen setzen darf, Doku hier. Wenn überhaupt, müsste es WHERE name = $_POST[blabla] sein. Aber auch das darf es nicht sein, weil man vom User empfangene Daten nicht blindlings in ein SQL einsetzen darf. Man muss den Kontextwechsel beachten und entsprechende Maskierungsfunktionen benutzen (mysqli_real_escape_string oder die quote-Methode in PDO), oder prepared statements (in MYSQLI, in PDO) verwenden.

Password_hash ... da ja der Hash nicht doppelt existieren kann

Kommt drauf an - wenn Du das Salt manuell vorgibst, schon. Aber das ist nicht Sinn der Sache, ein zufälliges Salt ist sicherer.

Die Lösung sieht anders aus: Man erstellt den Hash mit password_hash und überprüft ihn mit password_verify

Rolf

Lieber Cryptic,

Das mit dem Löschen war eine Frage daher auch das Fragezeichen am Ende des Satzes (hab ich in der Schule mal so gelernt vor über 20 Jahren). Aber scheiß drauf, Fragen sind wohl unerwünscht schade dachte darum geht es in einem Forum. Wird zeit das ich hier meine Koffer packe und weiter ziehe.

nicht gut. Lass mal die Emotionen in der Garderobe. Wir sind hier ein Technikforum. Da kann es ganz schnell sein, dass man Dir sagt, was Du von der emotionalen Seite lieber nicht hören willst. Da braucht es dann Ruhe und Geduld, um sich der eigentlichen Sache zu besinnen und die Kommentare und Hinweise für die Sache zu studieren und daraus zu lernen.

Dass man sich hier grundsätzlich auch wie die Axt im Walde aufführen kann, ist klar. Was man damit erreicht, meistens auch.

Leider hat sich ein neuer Fehler eingeschlichen um den ich mich erstmal kümmern muß. Um mehr sicherheit zu gewähren habe ich bei der Registrierung das PW mit Password_hash verschlüsselt in die DB übergeben

Das ist ein absolutes Muss, eine Minimalanforderung an Datensicherheit! Im Klartext hinterlegte Passwörter sind eine eigentlich unentschuldbare Versäumnis. Und ja, man kann damit argumentieren, dass man nur an einem kleinen Projekt herumbastelt, bei dem es nicht so sehr darauf ankäme. Aber das ist in aller Regel zu kurz gedacht, weil man als Laie unmöglich die volle Tragweite für solche Entscheidungen abschätzen oder begreifen kann. Dafür gibt es ja solche Dogmen, die man sich tunlichst verinnerlichen sollte.

WHERE name = $_POST['blabla']

„Über eine Website mit einer vulnerablen Joomla-Installation auf einen Server gelangt, gibt es kein Durchkommen zu Attilas Webspace mit der Kundennummer 5000120334. Attilas Seite war zunächst sicher. Also anfangs.“ - anonleaks.net

jedoch kann ich nun beim Login nicht mehr prüfen ob das PW auch stimmt da ich ja das in dem Login eingegebene PW auch wieder verschlüßeln müßte um eine Abfrage zu starten was aber immer FALSE ausgeben wird da ja der Hash nicht doppelt existieren kann.

@Rolf B hat Dir den Tipp mit password_verify() ja schon gegeben.

Achja Programmieren ist schon lustig ... es wird einem nie langweilig XD

Ganz richtig. Drum machen wir das ja auch so gerne, obwohl es dermaßen Lebenszeit fressen kann. :-)

Liebe Grüße

Felix Riesterer