Verbessertes Logfile

[hscha]

Um die Ausgabe eines zweiten Login-Formulars zu unterbinden, müsste ich das seclevel der Rubrik auslesen. Geht das über $_SESSION['...']?

[MarkusR]

Das sollte (im Frontend) in
$cpoRubric['seclevel']
stehen

[hscha]

Danke, Markus!
Ich hatte im vergangenen Monat mehrere Fälle, wo im Logfile der Name des Users stand und in der gleichen Zeile "CSRF check failed."

[MarkusR]

Danke, Markus!
Ich hatte im vergangenen Monat mehrere Fälle, wo im Logfile der Name des Users stand und in der gleichen Zeile "CSRF check failed."

Das ist natürlich besonders strange, weil der User erfolgreich angemeldet ist, aber einen erneuten Login versucht...

Vermutlich im Browserverlauf zurückgesprungen und dann bei der Aufforderung "Die Daten müssen erneut gesendet werden" der Aufforderung Folge geleistet...

[hscha]

Ich hab's jetzt so gelöst:

Bildschirmfoto 2026-01-29 um 10.54.06.png

[MarkusR]

Das ist wie geschrieben vermutlich gar nicht notwendig gewesen.

Ich gehe nach wie vor davon aus, dass im Browserverlauf zurück gegangen wurde, und - wenn die User eingeloggt sind - die Login-Daten nochmal absendet wurden, inklusive des inzwischen - weil erfolgreich - gelöschten Tokens!

Wenn die User selbst nichts sagen, kann das Logfile den Admin zu falschen Schlüssen führen.

Eine beliebte weitere Fehlerquelle sind Doppelklicks auf Buttons bei langsamer Internetverbindung.
Dann führt der erste Klick zum Login und der zweite Klick zum Fehler...

[hscha]

Die User haben sich bislang nicht beschwert, sondern sich einfach ein zweites Mal eingeloggt.
Ich habe das Abschalten des Login-Formulars per seclevel wieder deaktiviert.

[MarkusR]

sondern sich einfach ein zweites Mal eingeloggt.

Also waren sie zweimal eingeloggt?
Dann hatte es ja beim ersten Mal geklappt und das zweite - zuerst erfolglose - Login entstand wegen Doppelklick oder Zurückgehen im Browserverlauf.

Wenn da doch ein Name steht, kann man den/die fragen?

[hscha]

Das nächste Mal mache ich das - ist schon ne Weile her, deshalb ist das Sich-Erinnern schwer möglich...

[MarkusR]

Oder einfach mal alles mögliche selbst ausprobieren, ob Du es schaffst ebenfalls einen CSRF-Fehler zu provozieren.
Mittels "zurück" im Browser und erneutem Senden der Daten garantiert...