"Fehler beim Anmelden" nach Update

[hekla]

Nach einem Update von phpwcms 1.9.23 auf phpwcms 1.9.28 kann ich mich nicht mehr einloggen.
Ich bekomme "Fehler beim Anmelden".
Woran kann das liegen? Hat wer Ideen?

[hekla]

Vielleicht sinnvolle Zusatzinfos:
Es läuft auf einer Subdomain ohne SSL.
Ich habe auf dem Webspace geschaut und ein error log gefunden. Da steht:

Code: Select all

[ssl:warn] [pid 8390:tid 140496188848256] AH01909:
RSA certificate configured for dev.meinedomain.tld:443 does NOT include an ID which matches the server name

(dev.meinedomain.tld ist natürlich ersetzt)

Heisst das, dass da was mit einem SSL Zertifikat nicht stimmt …? (wegen SSL:warn und Port 443)

[top]

Wenn es auf deiner Subdomain ohne SSL läuft, dürfte dafür vermutlich kein Zertifikat existieren.

Ist SSL denn auch in der include/config/conf.inc.php deaktiviert?

Code: Select all

$phpwcms['site_ssl_mode'] = 0;

[hekla]

Ja, ist deaktivert …

[Oliver Georgi]

Anscheinend läuft doch etwas bei Dir unter SSL – Port 443. Ohne SSL Port 80.

Es wurden diverse Mechanismen integriert, die die Cookies/Session absichern. Bei Dir matchen dort anscheinend Host und Subdomain nicht sauber. Eventuell ist noch ein Proxy vorgeschaltet (z.B. nginx).

Achte darauf, dass keine Domain in der conf.inc.php hinterlegt ist. Es sollte so laufen:

Code: Select all

$phpwcms['site'] = '';
$phpwcms['site_ssl_mode'] = 0;
$phpwcms['site_ssl_url'] = '';
$phpwcms['site_ssl_port'] = 443;

Ansonsten vermutlich ein serverseitiges Konfigurationsproblem.

[dani]

Ich habe das Problem auf meinem lokalen NAS Webserver (PHP 7.3) auch.
Da läuft die Testumgebung auch unter einer Subdomain und ohne SSL.

Woran es genau liegt habe ich noch nicht rausgefunden. Hatte noch keine Muse tiefer zu graben.

Als Workaround hat erstmal ausklammern in der conf.inc.php geholfen:

Code: Select all

#$phpwcms['session.cookie_samesite'] = 'Lax';

Sollte man aber nicht auf einem Public Server machen.

Es wurden diverse Mechanismen integriert, die die Cookies/Session absichern.

Ist ja nicht umsonst implementiert.

[Oliver Georgi]

Ach ja, danke noch mal für den Hinweis samesite. Ich muss da anscheinend noch detaillierter prüfen, ob SSL und wenn nicht SSL, darf das nicht bzw. muss anders gesetzt werden.

Habe hier präzisiert: https://github.com/slackero/phpwcms/com ... bc950d41ca

[Old Boy]

Prima, jetzt funktioniert auch die Anmeldung ins Backend auf meinem MAC / MAMP-localhost mit Safari wieder ohne Zicken!
DANKE!

[dani]

Mir war die widersprüchliche Meldung im Browserdebugger (Firefox) aufgefallen. Konnte mir aber keinen Reim drauf manchen.

Code: Select all

PHPSESSID	
    domain	"xxx.local"
    httpOnly	true
    path	"/"
    samesite	"Lax"
    secure	true
    value	"xxx"
    phpwcmsBELang	
    domain	"xxx.local"
    expires	"2022-09-09T10:45:14.000Z"
    httpOnly	true
    path	"/"
    value	"de"

Das Cookie “phpwcmsBELang” wird in Zukunft bald abgelehnt werden, da es für das Attribut "sameSite" entweder "none" oder einen ungültigen Wert angibt, ohne das "secure"-Attribut zu verwenden. Weitere Informationen zum "sameSite"-Attribut finden Sie unter https://developer.mozilla.org/docs/Web/ ... e/SameSite

Wenn es jetzt funktioniert, passt es ja.

Sorry für die komische Beschreibung. Wollte eigentlich einen Screenshot der Meldung einbinden. Geht aber irgendwie nicht mehr.

[Oliver Georgi]

Das Cookie “phpwcmsBELang” wird in Zukunft bald abgelehnt werden, da es für das Attribut "sameSite" entweder "none" oder einen ungültigen Wert angibt, ohne das "secure"-Attribut zu verwenden. Weitere Informationen zum "sameSite"-Attribut finden Sie unter https://developer.mozilla.org/docs/Web/ ... e/SameSite

Das ist altes Cookie, wenn es neu gesetzt wird, sollte das passen.

[dani]

Mit der Anpassung funktioniert der Login nun auch wieder auf dem lokalen NAS ohne SSL.
Danke!

[Dieter:Bahr]

Sorry für die Frage, aber ich bin da noch nicht dahinter gestiegen!

- sämtliche Cookies im Browser gelöscht

Was muss jetzt bei "session.cookie_samesite" angegeben werden das das wieder geht?
Derzeit kann ich mich nur anmelden wenn ich das aus kommentiere ...
mit der Standardeinstellung Lax geht es nicht

UPDATE: Wenn das $phpwcms['session.cookie_samesite'] = ' ' LEER IST, geht es ...

[dani]

Also wenn alle Cookies und vorsorglich der Cache gelöscht sind. Sollte der neuerliche Login ohne SSL auch mit dem Default Wert "Lax" funktionieren. Vorsorglich den Browser auch beenden und neu starten.

Was sagt denn der Debug?

Im Firefox:

1. Taste F12
2. Reiter Konsole
3. Taste F5 Seite neu laden.

Update:
Ist mir noch eingefallen. Die Anpassung von Oliver ist noch nicht im "Master" Branch sondern aktuell noch in der "Dev" Version enthalten.
https://github.com/slackero/phpwcms/commits/v1.9-dev

[Dieter:Bahr]

Jeder Browser alle Cookies und cache geleert.
Um welche Datei handelt es sich im dev?

[Oliver Georgi]

Es geht nicht um Dev, es geht um den Developer Modus des Browsers, dort findest Du Details, wenn Cookies z.B. abgelehnt werden.