[3.5] Modul "Passwort vergessen" erzeugt bei Passwortänderung weder Version noch System-Log-Eintrag

[Mynyx]

Das Forentend Modul "Passwort vergessen" erzeugt bei einer Passwortänderung weder eine neue Version noch einen System-Log-Eintrag.

[leofeyer]

Mir fallen dazu zwei Probleme auf:

1. Die Diff-Ansicht berücksichtigt keine Passwortfelder. Wenn also nur das Passwort geändert wird, ist der Versionsvergleich leer.
2. Sollten wir Passwortänderungen überhaupt versionieren? Sollte das Wiederherstellen einer früheren Version auch den Passwort-Hash ändern?

@contao/developers /cc

[Toflar]

Die Diff-Ansicht berücksichtigt keine Passwortfelder. Wenn also nur das Passwort geändert wird, ist der Versionsvergleich leer.

Da würde ich für einen Platzhalter voten. Also man soll halt sehen, dass sich was geändert hat aber es soll nicht angezeigt werden (man kann mit der Info ja eh nichts anfangen). Z.B. [wurde geändert].

Sollten wir Passwortänderungen überhaupt versionieren? Sollte das Wiederherstellen einer früheren Version auch den Passwort-Hash ändern?

Was spricht dagegen? Mir fällt nix ein. Es wäre auch inkonsistent. Stell dir mal vor ich ändere das Mitglied ID 3 von Hans Muster in John Doe und vergebe ein neues Passwort. Nun fällt mir ein, "ah nee, Hans Muster war schon richtig". Dann stelle ich zurück auf Hans Muster aber er hat jetzt das Passwort von John Doe?

[leofeyer]

Ja, nur wenn der Benutzer sein Passwort ändert, will er das geänderte nutzen; egal, ob ich eine frühere Version seiner Adresse wiederherstelle oder nicht. Ich finde daher, dass wir Passwörter gar nicht versionieren sollten.

[Toflar]

Da bin ich dann wohl anderer Meinung.

[leofeyer]

Ich finde beide Ansätze haben Vor- und Nachteile.

[aschempp]

Ich sehe auch Vor- und Nachteile. Aber die Wahrscheinlichkeit dass jemand sein Passwort ändert (insbesondere mit dem Frontend-Modul!) und danach wiederherstellen will, halte ich doch für eher unwahrscheinlich :D

[Mynyx]

Wenn bei einer Änderung des Benutzers über das Backend nur das Passwort geändert wird, dann wird schließlich auch eine neue Version erstellt.

Die oben gezeigten Punkte müsste man also allgemein lösen, diese haben keinen unmittelbaren Zusammenhang mit der "Passwort vergessen" Funktion.

[leofeyer]

Wie am 21. April auf Mumble besprochen, sollen Passwort-Änderungen versioniert werden und in der Diff-Ansicht angezeigt werden.

[leofeyer]

Geändert in 3164ebe.