webinterface.git

@@ -17,6 +17,21 @@ Nevertheless, in case you use a significant part of this code, we ask (but not r

 require_once('newpass.php');

 require_once('session/checkuser.php');

+function send_user_token($username) 

+{

+  $token = get_user_token($username);

+  $email = emailaddress_for_user($username);

+

+  $tokenurl = config('webinterface_url').'/init'.$token.'?agb=1';

+

+  $msg = 'Sie haben für Ihren Zugang bei '.config('company_name').' ein neues Passwort angefordert.

+Bitte besuchen Sie folgende Adresse um Ihr Passwort neu zu setzen:

+  '.$tokenurl.'

+

+Mit freundlichen Grüßen,

+Ihre Admins von '.config('company_name');

+  send_mail($email, "Passwortanforderung fuer schokokeks.org", $msg);

+}

 function send_customer_token($customerno)

 {

@@ -24,7 +39,7 @@ function send_customer_token($customerno)

   $token = get_customer_token($customerno);

   $customer = get_customer_info($customerno);

   if ($customer['email'] == '')

-    system_failure('Für Ihr Kundenkonto ist keine E-Mail-Adresse eingetragen. Diese Funktion steht Ihnen daher nicht zur Verfügung.')

+    system_failure('Für Ihr Kundenkonto ist keine E-Mail-Adresse eingetragen. Diese Funktion steht Ihnen daher nicht zur Verfügung.');

   $anrede = "Sehr geehrte Damen und Herren";

   if ($customer['title'] == 'Herr')

     $anrede = "Sehr geehrter Herr {$customer['name']}";

@@ -17,6 +17,18 @@ Nevertheless, in case you use a significant part of this code, we ask (but not r

 require_once('inc/db_connect.php');

 require_once('session/checkuser.php');

+function user_customer_match($cust, $user)

+{

+  $customerno = (int) $cust;

+  $username = mysql_real_escape_string($user);

+  $result = db_query("SELECT uid FROM system.useraccounts WHERE kunde={$customerno} AND username='{$username}' AND kundenaccount=1;");

+  if (mysql_num_rows($result) > 0)

+    return true;

+  return false;

+}

+

+

+

 function customer_has_email($customerno, $email)

 {

   $customerno = (int) $customerno;

@@ -88,23 +100,33 @@ function invalidate_systemuser_token($uid)

   db_query("DELETE FROM system.usertoken WHERE uid={$uid} LIMIT 1;");

 }

-function create_token($customerno)

+function create_token($username)

 {

-  $customerno = (int) $customerno;

+  $username = mysql_real_escape_string($username);

   expire_tokens();

-  $result = db_query("SELECT token_create FROM kundendaten.kunden WHERE id={$customerno} AND token_create IS NOT NULL;");

-  if (mysql_num_rows($result) > 0)

-  {

-    $res = mysql_fetch_object($result)->token_create;

-    input_error("Sie haben diese Funktion kürzlich erst benutzt, an Ihre E-Mail-Adresse wurde bereits am {$res} eine Nachricht verschickt. Sie können diese Funktion erst nach Ablauf von 24 Stunden erneut benutzen.");

-    return false;

+  $result = db_query("SELECT uid FROM system.useraccounts WHERE username='{$username}'");

+  $uid = (int) mysql_fetch_assoc($result)['uid'];

+  

+  $result = db_query("SELECT created FROM system.usertoken WHERE uid={$uid}");

+  if (mysql_num_rows($result) > 0) {

+    system_failure("Für Ihr Benutzerkonto ist bereits eine Passwort-Erinnerung versendet worden. Bitte wenden Sie sich an den Support wenn Sie diese nicht erhalten haben.");

   }

-  $token = random_string(10);

-  db_query("UPDATE kundendaten.kunden SET token='{$token}', token_create=now() WHERE id={$customerno} LIMIT 1;");

+  

+  $token = random_string(16);

+  db_query("INSERT INTO system.usertoken VALUES ({$uid}, NOW(), NOW() + INTERVAL 1 DAY, '{$token}')");

   return true;

 }

+function emailaddress_for_user($username)

+{

+  $username = mysql_real_escape_string($username);

+  $result = db_query("SELECT k.email FROM kundendaten.kunden AS k INNER JOIN system.useraccounts AS u ON (u.kunde=k.id) WHERE u.username='{$username}'");

+  $data = mysql_fetch_assoc($result);

+  return $data['email'];

+}

+

+

 function get_customer_token($customerno)

 {

   $customerno = (int) $customerno;

@@ -116,4 +138,12 @@ function get_customer_token($customerno)

 }

+function get_user_token($username) 

+{

+  $username = mysql_real_escape_string($username);

+  $result = db_query("SELECT token FROM system.usertoken AS t INNER JOIN system.useraccounts AS u USING (uid) WHERE username='{$username}'");

+  $tmp = mysql_fetch_assoc($result);

+  return $tmp['token'];

+}

+

 ?>

@@ -19,31 +19,32 @@ title("Neues Passwort beantragen");

 //require_once('inc/error.php');

 //system_failure("Diese Funktion ist noch nicht fertiggestellt.");

-if (isset($_POST['customerno']))

+if (isset($_POST['customerno']) && isset($_POST['username']))

 {

   require_once('newpass.php');

-  if (customer_has_email($_POST['customerno'], $_POST['email']))

+  if (user_customer_match($_POST['customerno'], $_POST['username']))

   {

-    if (create_token($_POST['customerno']))

+    if (create_token($_POST['username']))

     {

       require_once('mail.php');

       require_once('inc/base.php');

-      send_customer_token($_POST['customerno']);

-      logger(LOG_INFO, "modules/index/new_password", "pwrecovery", "token sent for customer »{$_POST['customerno']}«");

+      send_user_token($_POST['username']);

+      logger(LOG_INFO, "modules/index/lost_password", "pwrecovery", "token sent for customer »{$_POST['customerno']}/{$_POST['username']}«");

       success_msg('Die angegebenen Daten waren korrekt, Sie sollten umgehend eine E-Mail erhalten.');

     }

   }

   else

   {

-    input_error("Die eingegebenen Daten waren nicht korrekt. Sollten Sie nicht mehr wissen, welche E-Mail-Adresse Sie angegeben haben, wenden Sie sich bitte an einen Administrator.");

+    input_error("Die eingegebenen Daten waren nicht korrekt. Sollten Sie die Daten nicht mehr kennen, wenden Sie sich bitte an einen Administrator.");

   }

 }

-output('<p>Sofern Sie bei Ihrer Anmeldung noch kein Passwort für Ihren Kundenaccount festgelegt hatten, können Sie hier ein neues Passwort festlegen. Sie müssen dafür Ihre Kundennummer und die bei der Anmeldung angegebene E-Mail-Adresse eingeben.</p>

-<p>Nach dem Ausfüllen dieses Formulars erhalten Sie eine E-Mail mit einem Link, den Sie in Ihrem Browser öffnen müssen. Dort können Sie dann ein neues Passwort eingeben.</p>

+output('<p>Wenn Sie Ihr Kundenpasswort nicht mehr kennen, können Sie hier ein neues Passwort beantragen. Sie müssen dafür Ihre Kundennummer und Ihren Benutzernamen kennen. Kennen Sie diese Daten nicht, wenden Sie sich bitte <a href="mailto:'.config('adminmail').'">an die Administratoren</a>.</p>

+<p>Nach dem Ausfüllen dieses Formulars erhalten Sie eine E-Mail mn die bei uns hinterlegte E-Mail-Adresse. Diese Mail enthält einem Link, den Sie in Ihrem Browser öffnen müssen. Dort können Sie dann ein neues Passwort eingeben.</p>

+<p><span style="font-weight: bold;">Hinweis:</span> Sie können auf diesem Weg nur das Passwort des Hauptbenutzers neu anfordern. Sind Sie Mitbenutzer eines anderen Kunden, dann kann dieser Ihr Passwort neu setzen.</p>

 <form action="" method="post">

 <p><span class="login_label">Kundennummer:</span> <input type="text" name="customerno" size="30" /></p>

-<p><span class="login_label">E-Mail-Adresse:</span> <input type="text" name="email" size="30" /></p>

+<p><span class="login_label">Benutzername:</span> <input type="text" name="username" size="30" /></p>

 <p><span class="login_label">&#160;</span> <input type="submit" value="Passwort anfordern" /></p>

 </form>');

@@ -55,12 +55,12 @@ if ($messages) {

 <h3>schokokeks.org Hosting Webinterface</h3>

 <p>Auf dieser Seite können Sie diverse Einstellungen Ihres Accounts auf schokokeks.org Hosting festlegen. Sofern Sie noch kein Kunde von schokokeks.org Hosting sind, können Sie diese Seite nicht benutzen. Besuchen Sie in diesem Fall bitte unsere <a href="http://www.schokokeks.org">öffentliche Seite</a>.</p>

 <form action="" method="post">

-<p><label for="username" class="login_label">Benutzername oder E-Mail-Adresse<sup>*</sup>:</label> <input type="text" id="username" name="webinterface_username" size="30" /></p>

+<p><label for="username" class="login_label">Benutzername oder E-Mail-Adresse:</label> <input type="text" id="username" name="webinterface_username" size="30" /></p>

 <p><label for="password" class="login_label">Passwort:</label> <input type="password" id="password" name="webinterface_password" size="30" /></p>

 <p><span class="login_label">&#160;</span> <input type="submit" value="Anmelden" /></p>

 </form>

-<p><sup>*</sup> Sie können sich hier mit Ihrem System-Benutzernamen, Ihrer E-Mail-Adresse oder Ihrer Kundennummer (jeweils mit zugehörigem Passwort) anmelden. Je nach gewählten Daten erhalten Sie unterschiedliche Zugriffsrechte.</p>

-<p>Sollten Sie Ihr Passwort nicht mehr kennen, wenden Sie sich bitte unter Angabe Ihres Benutzernamens und/oder Ihrer Kundennummer an den Support. Passwörter für E-Mail-Konten kann der Eigentümer des Benutzeraccounts neu setzen.</p>

+<p>Sie können sich hier mit Ihrem System-Benutzernamen, Ihrer E-Mail-Adresse oder Ihrer Kundennummer (jeweils mit zugehörigem Passwort) anmelden. Je nach gewählten Daten erhalten Sie unterschiedliche Zugriffsrechte.</p>

+<p><a href="lost_password">Sollten Sie Ihr Kunden-Passwort nicht mehr kennen, klicken Sie bitte hier.</a> Passwörter für E-Mail-Konten kann der Eigentümer des Benutzeraccounts neu setzen.</p>

 <p><em><a href="../../certlogin/?destination=go/<?php echo $go; ?>"  >Mit einem Client-Zertifikat anmelden</a></em> (<a href="../../go/index/certinfo"  >Wie geht das?</a>)</p>