ok die save.php anzupassen ist ja nun nicht wirklich schwierig. Bleibt die Frage ob das ein Bug ist oder so gewollt.
Wenn es gewollt wäre, frage ich mich warum? Benutzernamen mit Punkten sind doch irgendwie das normalste in der IT Welt
Gibt es dafür einen Hintergrund?
Oberflächlich gesehen ist der Einsatz von beliebigen Zeichen kein Problem. Die Probleme tauchen erst auf, wenn man ein wenig weiter denkt.
Einer der wichtigsten Gründe für diese Einschränkung ist die Plattform-Unabhängigkeit. Trotz der Schwierigkeiten, die uns in der Entwicklung daraus entstehen, besteht die Welt zum Glück nicht nur aus den Produkten aus Redmont. Deswegen denken wir, speziell im Serverbereich eben nicht nur in Windoof, sondern auch in Linux, Unix, Mac und -fast- allen anderen Betriebssystemen, die Webserverdienste zur Verfügung stellen können. Der Schwerpunkt liegt jedoch auf der Kombination von Linux+Apache+mySQL+PHP (a.k.a. LAMP).
Um den nächsten Grund zu verstehen, müssen wir uns erst mal über verschiedene benutzerbezogene Daten klar werden.
In WB gibt es 3 wichtige Elemente in Bezug auf einen User:
1.: Login-Name
2.: Passwort
3.: Anzeigename
Der Login-Name ist ein vorrangig rein funktionales Datum. Zusätzlich zur Anmeldung wird er z.B. auch als Verzeichnisname für ein Benutzer-Verzeichnis, als Schlüsselwert in der internen Verwaltung und noch vieles mehr benutzt. Da wir jetzt aber auf die Regeln der unterschiedlichsten Betriebssysteme Rücksicht nehmen müssen, sind wir gezwungen, den kleinsten, gemeinsamen Nenner zu finden und zu benutzen. (
nicht vergessen: bei einem reinen Windows-, Linux- oder Sonstwassystem sind diese Einschränkungen nicht oder nur teilweise erforderlich) Der kleinste, gemeinsame Nenner, der allen Systemen gemeinsam ist, ist der ASCII-Zeichensatz von 0-127. Aus diesem Zeichenbereich ist wiederum nur eine Teilmenge in allen Systemen für Verzeichnis- und Dateinamen oder Variablen-/Schlüsselwertbezeichner verfügbar.
Wenn man das alles berücksichtigt und auch auf zukünftige Funktionserweiterun
gen vorbereitet sein will, kommt man zu der von uns jetzt eingesetzten Regelung.
Aufbau eines Loginnamens: minimale Länge 3 Zeichen, maximale Länge 31 Zeichen.
Das erste Zeichen muss ein Buchstabe
a-
z sein, darauf folgen mindestens 2, maximal 30 Zeichen
a-
z 0-
9 - _Auf Groß- Kleinschreibung wird nicht geachtet, da zur internen Verwaltung alles auf Kleinbuchstaben umgewandelt wird.
Aufbau eines Passwortes:Die Mindestlänge eines Passwortes wird ab WB2.8.2 SP2 auf 6 Zeichen, als schwächste Variante festgelegt sein.
Maximale Länge sind 255 Zeichen. Bei Passwörtern ist zwingend auf Groß- Kleinschreibung zu achten (case sensitive).
Passwörter dürfen im Prinzip sämtliche druckbaren Zeichen enthalten. Also auch zeichensatzspezifis
che Sonderzeichen und Satzzeichen. Bis hin zu kyrillischen und chinesischen Schriftzeichen. Allerdings sollte man darauf achten, dass Passwörter auch auf den Bildschirmtastature
n von Smartphones und Tablets etc. eingegeben werden können!
AnzeigenameIm Gegensatz zum Loginnamen hat der Anzeigename keinerlei Funktionalität und kann, bis auf Satz- und Leerzeichen praktisch alle druckbaren Zeichen aller Sprachen enthalten. Ein Anzeigename kann - auch mit kleinen Abwandlung durch Satzzeichen etc.- im gesamten System nur ein einziges Mal existieren um z.B. das Vortäuschen einer fremden Identität in Posts, Kommentaren etc. zu verhindern.
SicherheitshinweiseAus Sicherheitsgründen ist es ratsam, zumindest im Frontend niemals den Loginnamen, sondern grundsätzlich nur den Anzeigenamen sichtbar zu machen. (Loginname + Passwort ist für 'Einbrecher' schwerer zu erraten als nur das Passwort alleine)
Realnamen als Loginnamen sind ein hohes Sicherheitsrisiko! Beispiel: Ich weiß von meinem eigenen Account, dass der Loginname nach dem Schema
vorname.nachname aufgebaut ist. Will ich mich jetzt mit einem fremden Account anmelden, nutze ich einfach den Namen des Anderen, betreibe ein wenig 'Social-Engineering' und teste mal den Namen der Freundin etc. als Passwort (statistische Trefferquote ~15% und mehr). Ist jedoch der Loginname frei gewählt und dieser wird nirgends angezeigt, so wird es ein Vielfaches schwieriger einen Account auf diese 'einfache' Weise zu übernehmen.
Die oben genannten Punkte sind, soweit dies nicht schon bereits erfolgt ist, für WB 2.8.2 spätestens ab dem SP2 sowie für alle Folgeversionen (2.9.x etc.) gültig. Zusätzlich wird auch eine (nach außen nicht sichtbare) wesentlich stärkere und aufwändigere Verschlüsselung der Passwörter (Faktor ~10.000) eingeführt um 'Brute-Force'-Angriffe zu erschweren und 'Hash-Diebstahl' praktisch sinnlos zu machen.
WebsiteBaker Community Forum
