CONTENIDO Forum

Hallo zusammen,

heute hat mich idea-tec auf einen vorerst unerklärlichen Fall beim Login eines Frontend-Users aufmerksam gemacht (by the way - vielen Dank), in dem ein Login eines inaktiven Frontend-Users dennoch möglich war.

Existiert der ein und selbe User (Identischer Username + Passwort) sowohl als Frontend-User als auch als Backend-User, kann der Frontend-User sich im Frontend anmelden, auch wenn dieser User deaktiviert ist. In diesem Fall wird das Login des Backend-Users akzeptiert, d. h. der Frontend-User wird also als Backend-User angemeldet.

Nun, man könnte damit argumentieren, dass man als Admin eben nicht einen User mit den gleichen Login-Daten in beiden Bereichen anlegen soll. Andererseits sollte das System auch so einen Fall abfangen können.

Daher sehe das Verhalten erstmal als einen Bug, würde aber gerne auch eure Meinung dazu lesen, wie ihr darüber denkt.

Grüße
xmurrix

Also ich würde hier ganz anders argumentieren.
Wenn ich einen FEUser und den gleichen BEUser habe, so kommt es auf die Wertigkeit an. Ein BEUser hat in Contenido halt höhere Rechte als ein FEUser. Und da beide Userverwaltung grundsätzlich ersteinmal "standalone" laufen, durch die Möglichkeit sich als BEUser auch im FE anzumelden diese Trennung aber aufgeweicht wird, gibt es hier mehrere Möglichkeiten an das Problem heran zu gehen.

• Man trennt beide Bereiche strikt voneinander und läßt nur z.B. sysadmin und admin auch im FE durch, wobei diese dann nicht im FE als User angelegt werden können
• Man behandelt User mit dem selben Usernamen im FE/BE als denselben User und ändert Einstellungen parallel für Beide, ohne Rücksicht auf die Rechte
• Man gibt dem BEUser die höheren Rechte, so wie es offensichtlich momentan ist. So hat der BEUser und seine Einstellungen ein Überschreiben des FEUsers zur Folge
• Man prüft beim Anlegen neuer User in beiden Verwaltungen auf Vorhandensein des Usernamens und verhindert ein Anlegen desselben Namens in beiden Verwaltungen. Wobei ich in diesem Falle dem BEUser einen Schalter verpassen würde um ihn für das FE freizugeben oder eben nicht.
• Man vereinheitlicht die Userverwaltung zu einem System bei dem z.B. ein Schalter darüber entscheidet, ob der User nun FE oder BE oder Beides nutzen/sehen darf

Zu Beachten ist hier sicherlich noch, das FE- und BEUser jeweils auch eine eigene Gruppenverwaltung haben. Hier wäre zu testen, ob bei dem beschriebenen Fall die Rechteverwaltung der FE-Gruppen auch greift, wenn der BE-User angemeldet ist. Das sollte IMO nicht so sein, auser bei admin und sysadmin Usern, die auch im FE alles sehen können sollten.

Ich denke man müßte zuerst nochmal genau den IST-Zustand aufschreiben und dann daran erörtern, ob man etwas sinnvoll ändern kann oder nicht. Generell wird es wohl keine für alle sinnvolle und akzeptable Lösung geben, man sollte versuchen den für die Mehrheit idealsten Fall umzusetzen.

Gruß aus Franken

Ortwin

Aufgefallen ist es in einer Test-/Demo-/Entwicklungsumgebung eines Kunden durch folgenden Fall:

- Redakteur hat im Backend einen Zugang mit Benutzername: "test" (Passwort ist zunächst irrelevant, da dieser Fall vermutlich SEHR selten vorkommen wird)
- Nun wurde von diesem der FE-User "test" (dummerweise mit dem gleichen Passwort) angelegt
=> Login, Anzeigen, Zugriffe, Rechte, Daten, alles war im FE passend!
-> FE-User "test" wurde deaktiviert um die Fehlermeldungen anzusehen und zu prüfen => User hatte sich trotzdem eingelogt????
= Klar, denn dies war nun der BE-User "test"

Wie gesagt: Dieser Fall dürfte SEHR selten vorkommen, aber er ist möglich und es sollte verhindert werden, dass man im BE und FE User mit gleichlautenden Loginnamen anlegt. Als Bug würde ich es nun (Oldperl hat nicht unrecht) auch noch nicht bezeichnen, bin aber geneigt es als einer anzusehen.

Ich würde es nicht zu kompliziert machen, sondern einfach nur eine gegenseitige Prüfung auf bereits vorhandene Benutzernamen. Ist nicht eh schon jeweils eine Prüfung auf Benutzernamen innerhalb der BE- bzw. FE-User vorhanden? Wenn ja, könnte man diese ja einfach erweitern.

xmurrix hat geschrieben:Daher sehe das Verhalten erstmal als einen Bug, würde aber gerne auch eure Meinung dazu lesen, wie ihr darüber denkt.

was du beschreibst, ist exakt im sinne des erfinders. es soll ja genau möglich sein, mit einem backenduser im frontend einzuloggen. das hat jetzt zunächst nichts damit zu tun, welche logins und passwörter die haben. ob das nun sinnvoll ist oder nicht, ist eine andere frage. es mutet schon seltsam an, mit einem backenduser ins frontend zu gelangen; aber ein bug wäre das dann, wenn das nicht vorgesehen wäre. seltsam ist ausserdem, dass es die unterscheidung überhaupt gibt. wozu eigentlich. in beiden fällen benötigt man irgendein recht, welches man aufweist oder eben nicht.