Hallo,
ich bin mir nicht ganz sicher, ob das hier rein gehört...

Also: Ich versuche mich gerade an einem "Passwort vergessen"-Script.
Meine Idee war, dass der Benutzer, der sein Passwort vergessen hat, seinen Nickname in einem Formular eingibt. Bei der Auswertung wird dann ein neues Zufallspasswort erstellt, und per md5()-Verschlüsselung in der Datenbank gespeichert. Der User bekommt vor der Verschlüsselung natürlich noch eine eMail mit seinem neuen Passwort zugeschickt, welches er später dann ändern kann.

Meine Frage: Welchen Schutz könnte man einbauen, dass ein fremder User nicht einfach einen anderen Benutzernamen angibt, und der, der fälschlicherweise sein Passwort vergessen hat, ein Neues bekommt.

Danke im Vorraus!
mfg
DaNnYy

Mister Ad

Hallo,

ganz einfach:
* Wenn der User auf dem Formular seinen Nick eingegeben hat, schickst Du eine Mail an die für diesen User hinterlegte Adresse mit einem Link und einem Text "klicken Sie hier um das PW zu ändern".

* Klickt er drauf, erzeugt das Zielscript in dem Link ein neues PW und schickt es wiederum per Mail.

* Klickt er nicht drauf, bleibt es beim alten PW.

Gruß,
Günter

Garnicht, aber wo ist das Problem? Wenn jemand sich lustig genug findet, und einfach irgendeinen Namen angibt, bekommt halt diese Person ein neues Passwort. Denke dagegen kannst du nichts machen. Außer du machst so eine Spezialfrage Ã* la Mädchenname der Mutter, etc..

@maxi: Du willst doch aber auch nicht jeden Tag ein neues Passwort haben, oder?

ch würde in der Datenbank noch eine Spalte "PasswordNew" anlegen, da das Passwort reinschreiben und ihm per mail zuschicken. Wenn er sich mit seinem alten passwort einloggt (dann hat sich schienbar jemand einen Scherz erlaubt), dann das "PasswordNew" wieder löschen. Wenn er sich mit dem "PasswordNew" einloggt, dann das normale Password durch PasswordNew ersetzen und Passwordew löschen.

Danke an alle für die Antworten!
Ich denke ich werde es mit der zweiten Spalte machen, dann würde der User, dem fälschlicherweise das neue Passwort eingetragen wurde, gar nichts davon merken

mfg
DaNnYy

Er würde es mitbekommen, da er ja die EMail bekommt :wink: Ich würde dann noch in die Mail sowas wie "Wenn Du diese Mail nicht angefordert hast, dann kannst du dich ganz normal mit deinem alten Passwort einloggen" reinschreiben

Stimmt *g* Ich hatte eigentlich so gedacht, dass in dem Feld "Password_New" (oder sowas) das neue, verschlüsselte Passwort eingetragen wird. Beim nächsten Login wird geprüft, welches der beiden Passwörter verwendet wurde, und das andere wird gelöscht.
Nur könnte dann der Benutzer, der das Passwort geändert hat, sich bei dem anderen einloggen ^^. Ok, dann braucht man doch eine eMail...

mfg
Jos

die beste methode ist wahrscheinlich die mit der email...
sonst könnte jemand, der sein passwort ändert, weil irgendwer sein altes rausbekommt ein problem bekommen, wenn das alte doch noch funktioniert ^^

Ich hab es jetzt so gelöst, dass ein 8-Stelliges, zufälliges Passwort generiert wird, dem Benutzer eine eMail mit dem Passwort gesendet wird und das neue Passwort in das Feld "New_Password" geschrieben wird. In der eMail ist auch ein Hinweis darauf, dass das neue Passwort zurückgesetzt wird, wenn der nächste Login mit dem alten Passwort erledigt wird. Erfolgt der Login mit dem neuen Passwort, dann wird es in das Feld "Password" eingetragen, und somit das alte überschrieben...

@ d4rk1: Wenn der andere Benutzer das Passwort des einen kennt, dann kann er ja auch die eMail-Adresse ändern, und schon kriegt der, dem der Account gehört, die eMail mit dem Password nicht mehr...

Danke für die Antworten!

mfg
DaNnYy