[TYPO3-german] Nach Wechsel der Sprache falsch eingeloggt

[Christopher Lörken]

David Bruchmann schrieb:
> Hallo Christopher,
> 
> Damit währen wir schon beim zweiten Gegenstand der Untersuchung:
> Userverwaltung!
> 
> mm-forum hat eine eigen Benutzerverwaltung - inwieweit wird auf 
> Core-Methoden zugegriffen, was ist unabhängig nur durch das Forum 
> definiert?
> 
> Hst Du eine aktuelle Version vom Forum installiert?
> 
> Gruß
> David

Danke,

ist ein guter Vorschlag sich das mal genau anzuschaun,

haben die aktuelle Version 0.1.7.

Ich habe mir das gestern mal angeschaut und mm_forum hat zwar eine 
eigene Nutzerverwaltung aber die beschränkt sich auf das Anlegen von 
Nutzern und Änderungsmöglichkeiten für die normalen und ein Paar 
zusätzliche Eigenschaften. Authentifizierung und Session Management 
scheint es nicht zu machen. (Wir verwenden fe_login für die 
Authentifizierung.)

Was ich gefunden habe sind einige session_start() Befehle nach denen 
einige Werte manuell in ein session Cookie gesetzt werden. Aber nach 
meinem Verständnis dürfte das auch kein Problem darstellen, oder?

Gruß,
christopher





> 
> ----- Ursprüngliche Nachricht -----
> Von:        Christopher Lörken <christopher at loerken.net>
> Gesendet:   Dienstag, 10. Februar 2009 19:47:02
> An:         typo3-german at lists.netfielders.de
> CC:
> Betreff:    Re: [TYPO3-german] Nach Wechsel der Sprache falsch eingeloggt
>> Danke für den Input.
>>
>> Das Ding ist leider, dass das Problem nicht nur im Forum aufgetreten 
>> ist. Ein User berichtete es als er gerade in den tt_news unterwegs 
>> war. Es passiert offenbar einigen Usern wirklich sehr häufig. Leider 
>> nicht mir, so dass ich es debuggen könnte.
>>
>> Ich werde wegen des mm_forums mal nachfragen und den Code auch nach 
>> direkten Zugriffen auf die Session durchsuchen... Hatte auf jeden Fall 
>> debug code im normalen Berechnen des Session keys und da sind keine 
>> doppelten vorgekommen. Hast schon recht, dass dann offenbar wer anders 
>> dran rumspielen muss... Weil Gründe, warum der sich einfach so ändern 
>> könnte fallen mir eigentlich nicht ein. Ein Browser schickt ja nicht 
>> einfach so einen anderen Cookie...
>>
>> Komische Sache auf jeden Fall und leider nahezu unmöglich zu debuggen, 
>> da ich natürlich auf unserem Produktionsserver den Work-around mit dem 
>> Domainwechsel nicht wieder entfernen will... Da bleibt wohl leider nur 
>> im Code wühlen als Alternative :(
>>
>> Grüße,
>> Christopher
>>
>> David Bruchmann schrieb:
>>> Hallo Christopher,
>>>
>>> nein - soche Probleme sind mir bisher nicht bekannt.
>>> Allerdings scheint das Sesssion-Handling beim mm-forum oder beim 
>>> System eine Schwäche zu haben und wechselnde IP-Adressen sind der 
>>> erste Punkt, der mir als Grund einfällt.
>>> Fraglich ist auch, ob der Fehler wirklich nur beim Sprachwechsel 
>>> auftaucht, oder evtl. auch in anderen Situationen.
>>>
>>> Eigentlich müßte man von einem Betroffenen mal alle Daten zum 
>>> Untersuchen haben (sessionkey und IP(s)).
>>>
>>> Ohne irgendwelche Quelltextuntersuchungen angestellt zu haben, habe 
>>> ich fast den Eindruck, daß irgendwo im mm-forum mit Sessionkey und 
>>> L-Parameter gerechnet wird und bei Sprachwechsel ein "berechneter" 
>>> Sessionkey zugeteilt wird. Aber das ist mal nur so gesponnen - ohne 
>>> Untersuchung von Beispieldaten und/oder Quelltext kann man da sowieso 
>>> nichts Verlässliches sagen.
>>> Die erste notwendige Untersuchung währe meiner Ansicht nach, ob 
>>> mm-forum ein eigenes Session-Handling integriert hat oder auf die 
>>> entsprechenden Core-Funktionen zugreift.
>>>
>>> Gruß
>>> David
>>>
>>> ----- Ursprüngliche Nachricht -----
>>> Von:        Christopher Lörken <christopher at loerken.net>
>>> Gesendet:   Dienstag, 10. Februar 2009 17:31:18
>>> An:         typo3-german at lists.netfielders.de
>>> CC:
>>> Betreff:    Re: [TYPO3-german] Nach Wechsel der Sprache falsch 
>>> eingeloggt
>>>> Hallo David,
>>>>
>>>> ich denke schon, dass so etwas theoretisch möglich ist bei 
>>>> dynamischen IP-Adressen. Nur insbesondere, da ich einen IPlock von 4 
>>>> angegeben habe sollte das ja im schlimmsten Fall den bisher 
>>>> eingeloggten User ausloggen und nicht etwa, ihm die Session von 
>>>> jemand anderem schenken, oder? Zudem sähe ich keine Verbindung zum 
>>>> Wechsel der Sprache...
>>>>
>>>> Bin also nicht sicher, ob die IP da Probleme machen kann... Ich 
>>>> logge auch einige Aktionen auf der Seite selbst mit wo ich zum 
>>>> debuggen mal auch die IP mitgespeichert habe. Da ist zu sehen, dass 
>>>> tatsächlich die IP des Nutzers einfach von einem Moment auf den 
>>>> nächsten mit einer anderen Nutzer-uid geloggt wurde. Und die IPs 
>>>> sind so unterschiedlich wie Österreich und England...
>>>>
>>>> Wüsstest Du von solchen Vorkomnissen, die mit einer Änderung der IP 
>>>> zusammen hängen könnten?
>>>>
>>>> Gruß,
>>>> Christopher
>>>>
>>>>
>>>> David Bruchmann schrieb:
>>>>> Ist es theoretisch möglich, daß sich bei den entsprechenden Usern 
>>>>> während des Besuchs die IP-Adresse ändert?
>>>>>
>>>>> Gruß
>>>>> David
>>>>>
>>>>>
>>>> _______________________________________________
>>>> TYPO3-german mailing list
>>>> TYPO3-german at lists.netfielders.de
>>>> http://lists.netfielders.de/cgi-bin/mailman/listinfo/typo3-german
>> _______________________________________________
>> TYPO3-german mailing list
>> TYPO3-german at lists.netfielders.de
>> http://lists.netfielders.de/cgi-bin/mailman/listinfo/typo3-german