Adminator
37f6238d05
Vorbereitung für den JWT+Redis-Umschalter: alle verstreuten $_SESSION['teacher_id'|admin_id']-Zugriffe laufen jetzt durch Session::-Helper, damit der Backend-Tausch später EINE Datei (Session.php) ist statt 18 Stellen. - Session.php: neue Admin-Helper adminId()/loginAdmin()/logoutAdmin()/ requireAdmin() (mirror der Teacher-Helper). teacherId()/adminId() starten die Session jetzt lazy (Aufrufer müssen Session::start() nicht mehr). - 18 Fundstellen kanalisiert (admin.php, admin-accounts, admin-modules, licenses, levels, waypoints, foto-upload, admin_gate, save_map). - Country.php + app.php cockpit_href: über Session:: mit class_exists-Fallback (Bootstrap/Lib-Kontext, Session evtl. nicht geladen). Verhaltensneutral: 14/14 Lint OK, Helper-Round-Trip 6/6 PASS, Live-Smoke (admin status/modules/accounts/licenses) weist unauth. Requests wie bisher mit 401/403 ab. AUTH_BACKEND bleibt 'session' — Live unverändert. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
100 lines
3.2 KiB
PHP
100 lines
3.2 KiB
PHP
<?php
|
|
/**
|
|
* API: Super-Admin Authentifizierung (2FA mit E-Mail-PIN)
|
|
* POST /api/admin {action: "login"|"verify_pin"|"status"|"logout"}
|
|
*/
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
|
|
Response::error('Nur POST erlaubt', 405);
|
|
}
|
|
|
|
$body = json_decode(file_get_contents('php://input'), true);
|
|
$action = $body['action'] ?? '';
|
|
$db = Database::get();
|
|
|
|
// === LOGIN (Schritt 1: Username + Passwort → PIN per E-Mail) ===
|
|
if ($action === 'login') {
|
|
$username = trim($body['username'] ?? '');
|
|
$password = $body['password'] ?? '';
|
|
|
|
if (!$username || !$password) Response::error('Benutzername und Passwort erforderlich');
|
|
|
|
$admin = $db->fetchOne('SELECT id, password, email_2fa FROM admin_users WHERE username = ?', [$username]);
|
|
if (!$admin || !password_verify($password, $admin['password'])) {
|
|
sleep(1); // Brute-force delay
|
|
Response::error('Benutzername oder Passwort falsch');
|
|
}
|
|
|
|
// PIN generieren (4-stellig)
|
|
$pin = str_pad(random_int(0, 9999), 4, '0', STR_PAD_LEFT);
|
|
$db->execute(
|
|
'INSERT INTO admin_pins (admin_id, pin, expires_at) VALUES (?, ?, DATE_ADD(NOW(), INTERVAL 10 MINUTE))',
|
|
[$admin['id'], $pin]
|
|
);
|
|
|
|
// PIN per E-Mail senden
|
|
if (class_exists('Mailer')) {
|
|
Mailer::sendAdminPin($admin['email_2fa'], $pin);
|
|
}
|
|
|
|
// Admin-ID in Session speichern (aber noch nicht authentifiziert)
|
|
Session::start();
|
|
$_SESSION['admin_pending'] = (int)$admin['id'];
|
|
unset($_SESSION['admin_id']); // Sicherstellen dass nicht schon eingeloggt
|
|
|
|
Response::ok(['message' => 'PIN wurde an Ihre E-Mail gesendet.', 'email' => maskEmail($admin['email_2fa'])]);
|
|
}
|
|
|
|
// === VERIFY PIN (Schritt 2: PIN eingeben → Admin-Session) ===
|
|
if ($action === 'verify_pin') {
|
|
Session::start();
|
|
$adminId = $_SESSION['admin_pending'] ?? null;
|
|
if (!$adminId) Response::error('Kein ausstehender Login. Bitte erneut anmelden.');
|
|
|
|
$pin = trim($body['pin'] ?? '');
|
|
if (!$pin || strlen($pin) !== 4) Response::error('4-stelliger PIN erforderlich');
|
|
|
|
$valid = $db->fetchOne(
|
|
'SELECT id FROM admin_pins WHERE admin_id = ? AND pin = ? AND expires_at > NOW() AND used = 0 ORDER BY id DESC LIMIT 1',
|
|
[$adminId, $pin]
|
|
);
|
|
|
|
if (!$valid) {
|
|
sleep(1);
|
|
Response::error('PIN ungültig oder abgelaufen');
|
|
}
|
|
|
|
// PIN als benutzt markieren
|
|
$db->execute('UPDATE admin_pins SET used = 1 WHERE id = ?', [$valid['id']]);
|
|
|
|
// Admin-Session aktivieren
|
|
Session::loginAdmin((int)$adminId);
|
|
unset($_SESSION['admin_pending']);
|
|
|
|
Response::ok(['message' => 'Anmeldung erfolgreich.']);
|
|
}
|
|
|
|
// === STATUS ===
|
|
if ($action === 'status') {
|
|
$adminId = Session::adminId();
|
|
if ($adminId) {
|
|
$admin = $db->fetchOne('SELECT id, username FROM admin_users WHERE id = ?', [$adminId]);
|
|
Response::ok(['authenticated' => true, 'admin' => $admin]);
|
|
}
|
|
Response::ok(['authenticated' => false]);
|
|
}
|
|
|
|
// === LOGOUT ===
|
|
if ($action === 'logout') {
|
|
Session::logoutAdmin();
|
|
Response::ok();
|
|
}
|
|
|
|
Response::error('Unbekannte Aktion');
|
|
|
|
// Helper: E-Mail maskieren (t***@ph-vorarlberg.ac.at)
|
|
function maskEmail(string $email): string {
|
|
$parts = explode('@', $email);
|
|
return substr($parts[0], 0, 1) . '***@' . $parts[1];
|
|
}
|