problem mit registrierung für memberbereich

[jensdrei]

hallo leute,
ich habe mir einen memberbereich zugelegt, in den man sich mit passwort und nickname einloggen kann.

bis jetzt muss ich die user aber alle manuell in die mysql-db eintragen, damit sie existieren und sich einloggen können.

meine frage ist:
wie geht es, dass man sich per mail anmelden kann und dass dann die daten automatisch in die mysql-db geschrieben werden?
also dass ich das halt nicht manuell machen muss!

so hab ich die testuser angelegt:

<?php 

$benutzer[0]["Nickname"] ="hans"; 
$benutzer[0]["Kennwort"] = "hans"; 
$benutzer[0]["Nachname"] = "Gaukeley"; 
$benutzer[0]["Vorname"] = "Gundel"; 

$benutzer[1]["Nickname"] = "test"; 
$benutzer[1]["Kennwort"] = "abc"; 
$benutzer[1]["Nachname"] = "Kunze"; 
$benutzer[1]["Vorname"] = "Martin"; 



$connectionid  = mysql_connect ("localhost", "dbnutzer", "passwort"); 
if (!mysql_select_db ("dbname", $connectionid)) 
{ 
  die ("Keine Verbindung zur Datenbank"); 
} 

 
mysql_query ("DELETE FROM dbtabellenname"); 

 
while (list ($key, $value) = each ($benutzer)) 
{ 
  
  $sql = "INSERT INTO ".
    "dbtabellenname (Nickname, Kennwort, Nachname, Vorname) ".
  "VALUES ('".$value["Nickname"]."', '".
                       md5 ($value["Kennwort"])."', '".
                       $value["Nachname"]."', '".
                       $value["Vorname"]."')"; 
  mysql_query ($sql); 

  if (mysql_affected_rows ($connectionid) > 0) 
  { 
    echo "Benutzer erfolgreich angelegt.<br>\n"; 
  } 
  else 
  { 
   echo "Fehler beim Anlegen der Benutzer.<br>\n"; 
  } 
} 
?>

die tabelle sieht so aus:

CREATE TABLE dbtabellenname (
  Id Int(11) NOT NULL auto_increment,
  Nickname VarChar(50) NOT NULL default '',
  Kennwort VarChar(50) NOT NULL default '',
  Nachname VarChar(50) NOT NULL default '',
  Vorname VarChar(50) NOT NULL default '',
  PRIMARY KEY (Id)
) 

[onemorenerd]

Per Mail anmelden? Du meinst registrieren. Oder meinst du "die Registrierung bestätigen", sogenanntes Opt-In? Diese Prozedur hast du doch sicher schon selbst dutzende Male exeziert. Man erzeugt sich auf irgendeiner Website einen Account, bekommt daraufhin eine Mail mit einem eindeutigen Link und wenn du drauf klickst, ist der Account aktiviert. Wo ist jetzt konkret dein Problem? Weißt du nicht, wie du den Link eindeutig machen kannst?

[jensdrei]

hmmm ne nich in dieser art.

also ich meine es so:
einfach ein formular, in das man seinen namen, seinen nickname und sein passwort eingibt und dann auf nen button "anmelden" drückt.

und dass dann eben diese daten, die man in das formular eingegeben hat, dann automatisch in die mysql-db geschrieben werden.
sodass ich das halt nicht manuell machen muss.

schön wäre dann noch, dass die daten an die emailadresse von dem, der sich registriert hat, zu schicken, damit er, wenn er sie vergessen/verloren hat, sie bei seinen mails hat.
aber das krieg ich selber hin.
wichtig wäre das erste...

sorry wenn ich mich anfangs etwas missverständlich ausgedrückt hab

[onemorenerd]

einfach ein formular, in das man seinen namen, seinen nickname und sein passwort eingibt und dann auf nen button "anmelden" drückt.
und dass dann eben diese daten, die man in das formular eingegeben hat, dann automatisch in die mysql-db geschrieben werden.

Das lernst du in jedem Einsteiger-Tutorial. Google einfach eins und lerne.

Aber vorher überdenke nochmal dein Konzept. Ich würde meine Zugangsdaten nicht in meinem Postfach liegen lassen sondern sofort löschen. Schau dir einfach mal an, wie andere Sites das machen (ebay, google, ...).

[bloodyorchid]

password vergessen mit nur einem password feld in der datenbank ist wegen der md5 verschlüsselung eh nicht möglich... ein zweites password feld in der db mit dem password in klartext is ne enorme sicherheitslücke ausser du entwickelst dir ne eigene verschlüsselung... würde nicht password vergessen benutzen sondern eher ein neues password generieren lassen das du dann per mail bekommst...

[onemorenerd]

Soso, Klartextpasswörter in der DB sind nicht gut. Aber frisch generierte Passwörter durch die Gegen mailen ist okay oder was?

[bloodyorchid]

nein natürlich auch nicht... aber besser als klartext passwörter alle mal :P

[onemorenerd]

Original geschrieben von bloodyorchid
besser als klartext passwörter alle mal

Klartext-Passwörter in unverschlüsselten Emails, in potenziell unsicheren Postfächern ... das ist nicht besser sondern schon fast fahrlässig.

Passwörter werden überhaupt nicht gespeichert und niemals irgendwo ausgeschrieben. Sie existieren nur im Kopf des Passwortbesitzers. Eine Applikation arbeitet stets nur mit einem irreversiblen Hash eines Passwortes. Das genügt, um die ursprüngliche Eingabe (Registrierung) mit der aktuellen Eingabe (Login) zu vergleichen und für etwas anderes ist ein Passwort nicht da.

Wer sein Passwort vergessen hat, bekommt eine Mail an die mit dem vergessenen Passwort hinterlegte Adresse. Diese Mail enthält einen speziellen Link, der den Inhaber des Mailaccounts einloggt und dazu zwingt, ein neues Passwort zu setzen.

[bloodyorchid]

das ist natürlich die fast beste möglichkeit... jedoch find ich ist das ein wenig zu viel aufwand für zum beispiel ein kleines nicht öffentliches ( 5.000 clicks / h ) script

es gibt viele möglichkeiten password recover und password set ideen etc zu realisieren.. manche sind gut manche weniger... und wer sein password vergesen hat ist selbst dran schuld :P

ausserdem ist das password zuschicken system in meinen augen zwar auch riskant aber sagen wir mal du generierst ein 8 stellen password das sich eh keiner behalten kann.. das erste was man da macht ist sich mit dem ding einloggen und password wieder ändern.. so kenn ich das zumindest :P

[onemorenerd]

Was ist denn bitte ein nicht-öffentliches Projekt? Sowas gibt es nicht im Internet.
Geringer Traffic ist auch kein Argument, um sich mit mangelhafter Sicherheit zufrieden zu geben. Gerade kleine Projekte werden i.d.R. schlecht betreut und sind deswegen ein lohnendes Ziel für Angreifer. Es fällt oft lange nicht auf, wenn ein Account gekapert wird und man kann ihn lange mißbrauchen. Ein starker Anreiz für Hacker, die nicht gezielt der Plattform sondern eher der Allgemeinheit, etwa mit Spamfluten schaden wollen. Das ist auch mein Beweggrund, selbst beim kleinsten Hobbyblogger solch lachses Sicherheitsdenken zu kritisieren. Der Wolf wird erst verhungern, wenn auch das schwächste Schaf in der Herde stark genug ist, ihm zu entkommen.