ZwiiCMS-Team
/
ZwiiCMS
2
3
Fork 2
Code Issues Pull Requests Projects Releases 78 Wiki Activity
Browse Source

10.2.01 gestion des échecs de connexion

pull/9/head
Fred Tempez 2 years ago
parent
51827c015b
commit
eeeb5c3db8
3 changed files with 51 additions and 33 deletions
Whitespace
Show all changes Ignore whitespace when comparing lines Ignore changes in amount of whitespace Ignore changes in whitespace at EOL
Split View
Diff Options
Show Stats Download Patch File Download Diff File
  1. 4
      CHANGES.md
  2. 12
      core/core.php
  3. 68
      core/module/user/user.php

4
CHANGES.md
View File

@ -1,5 +1,9 @@
# Changelog
## version 10.2.01
- Correction :
- Optimisation et correction de l'algorithme de contrôle d'accès.
## version 10.2.00
- Mise à jour :
- jQuery v3.5.1

12
core/core.php
View File

@ -39,7 +39,7 @@ class common {
const ACCESS_TIMER = 1800;
// Numéro de version
const ZWII_VERSION = '10.2.00';
const ZWII_VERSION = '10.2.01';
const ZWII_UPDATE_CHANNEL = "v10";
public static $actions = [];
@ -1314,10 +1314,18 @@ class common {
}
// Version 10.2.00
if ($this->getData(['core', 'dataVersion']) < 10200) {
$this->deleteData(['admin','colorButtonText']);
// Paramètres du compte connecté
$this->setData(['user', $this->getUser('id'), 'connectFail',0]);
$this->setData(['user', $this->getUser('id'), 'connectTimeout',0]);
$this->setData(['user', $this->getUser('id'), 'accessTimer',0]);
$this->setData(['user', $this->getUser('id'), 'accessUrl','']);
$this->setData(['user', $this->getUser('id'), 'accessCsrf',$_SESSION['csrf']]);
// Paramètres de sécurité
$this->setData(['config', 'connect', 'attempt',999]);
$this->setData(['config', 'connect', 'timeout',0]);
$this->setData(['config', 'connect', 'log',false]);
// Thème
$this->deleteData(['admin','colorButtonText']);
// Remettre à zéro le thème pour la génération du CSS du blog
if (file_exists(self::DATA_DIR . 'theme.css')) {
unlink(self::DATA_DIR . 'theme.css');

68
core/module/user/user.php
View File

@ -338,27 +338,45 @@ class user extends common {
if($this->isPost()) {
$userId = $this->getInput('userLoginId', helper::FILTER_ID, true);
// le userId n'existe pas, créer ou mettre à jour une entrée dans la liste noire
/**
* Aucun compte existant
*/
if( !$this->getData(['user', $userId])) {
//Stockage de l'IP
$this->setData([
'blacklist',
$userId,
[
'connectFail' => $this->getData(['blacklist',$userId,'connectFail']) ? $this->getData(['blacklist',$userId,'connectFail']) + 1 : 1,
'connectFail' => $this->getData(['blacklist',$userId,'connectFail']) + 1,
'lastFail' => time(),
'ip' => $_SERVER['REMOTE_ADDR']
]
]);
$notification = 'Identifiant ou mot de passe incorrect';
if ( $this->getData(['blacklist',$userId,'connectFail']) >= $this->getData(['config', 'connect', 'attempt']) ) {
$notification = 'Trop de tentatives, compte verrouillé';
} else {
$notification = 'Identifiant ou mot de passe incorrect';
}
// Valeurs en sortie
$this->addOutput([
'notification' => $notification
]);
}
/**
* Compte valide :
* Mot de passe
* Groupe
*/
if( $this->getData(['user',$userId,'connectTimeout']) + $this->getData(['config', 'connect', 'timeout']) < time()
* Le compte existe
*/
// Cas 4 : le délai de blocage est dépassé et le compte est au max - Réinitialiser
if ($this->getData(['user',$userId,'connectTimeout']) + $this->getData(['config', 'connect', 'timeout']) < time()
AND $this->getData(['user',$userId,'connectFail']) === $this->getData(['config', 'connect', 'attempt']) ) {
$this->setData(['user',$userId,'connectFail',0 ]);
$this->setData(['user',$userId,'connectTimeout',0 ]);
}
// Check la présence des variables et contrôle du blocage du compte si valeurs dépassées
// Vérification du mot de passe et du groupe
if (
( $this->getData(['user',$userId,'connectTimeout']) + $this->getData(['config', 'connect', 'timeout']) ) < time()
AND $this->getData(['user',$userId,'connectFail']) < $this->getData(['config', 'connect', 'attempt'])
AND password_verify($this->getInput('userLoginPassword', helper::FILTER_STRING_SHORT, true), $this->getData(['user', $userId, 'password']))
AND $this->getData(['user', $userId, 'group']) >= self::GROUP_MEMBER
@ -380,9 +398,6 @@ class user extends common {
]);
}
else {
// RAZ compteur échec connexion
$this->setData(['user',$userId,'connectFail',0 ]);
$this->setData(['user',$userId,'connectTimeout',0 ]);
// Valeurs en sortie
$this->addOutput([
'notification' => 'Connexion réussie',
@ -393,27 +408,18 @@ class user extends common {
}
// Sinon notification d'échec
else {
// L'utilisateur existe : incrémenter le compteur d'échec de connexion
if ( is_array($this->getdata(['user',$userId]))
) {
$notification = 'Identifiant ou mot de passe incorrect';
// Cas 1 le nombre de connexions est inférieur aux tentatives autorisées : incrément compteur d'échec
if ($this->getData(['user',$userId,'connectFail']) < $this->getData(['config', 'connect', 'attempt'])) {
$this->setData(['user',$userId,'connectFail',$this->getdata(['user',$userId,'connectFail']) + 1 ]);
// Mettre à jour le timer et notifier
if ( $this->getdata(['user',$userId,'connectFail']) >= $this->getData(['config', 'connect', 'attempt'])
) {
$notification = 'Trop de tentatives, accès bloqué durant ' . ($this->getData(['config', 'connect', 'timeout']) / 60) . ' minutes.';
// Incrémenter le timer
if ($this->getData(['user',$userId,'connectTimeout']) + $this->getData(['config', 'connect', 'timeout']) < time() ) {
$this->setData(['user',$userId,'connectTimeout', time()]);
}
} else {
$notification = 'Identifiant ou mot de passe incorrect';
}
// L'utilisateur n'existe pas
// Bloquer l'IP après les tentatives autorisées avec ce compte,
} elseif (
$this->getData(['blacklist',$userId,'connectFail']) >= $this->getData(['config', 'connect', 'attempt'])
) {
$notification = 'Trop de tentatives, compte verrouillé';
}
// Cas 2 la limite du nombre de connexion est atteinte : placer le timer
if ( $this->getdata(['user',$userId,'connectFail']) == $this->getData(['config', 'connect', 'attempt']) ) {
$this->setData(['user',$userId,'connectTimeout', time()]);
}
// Cas 3 le délai de bloquage court
if ($this->getData(['user',$userId,'connectTimeout']) + $this->getData(['config', 'connect', 'timeout']) > time() ) {
$notification = 'Trop de tentatives, accès bloqué durant ' . ($this->getData(['config', 'connect', 'timeout']) / 60) . ' minutes.';
}
// Journalisation
$dataLog = strftime('%d/%m/%y',time()) . ';' . strftime('%R',time()) . ';' ;

Write Preview
Loading…
Cancel
Save