POST /auth/login reveals account existence, role and lock state
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 55/100
- Tipo de issue
- Error
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- typescript
- Área
- authentication
Línea de trabajo
Start at the POST /auth/login handler and follow the role, lock-state, and password checks; the issue does not name files or tests. Compare the behavior with the fix for #328 and the later changes in #425 and #494. Done means all login failures return the same 401 message and details, with specific reasons logged server-side and lock information shown only after a correct password.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
POST /auth/login returns a different error for each account state, so anyone can tell whether an email is registered, which role it has and whether it's locked, without knowing the password. details says "User not found", "Account locked until …", "Retries exceeded, account locked for …", "User does not have admin privileges" or "User is not a participant", and message changes to "Incorrect Permissions" for the two role cases. Both login pages show details to the user.
#328 fixed this for #226 by returning "Invalid credentials provided" for an unknown email and a wrong password alike. #425 split that check again when it added the role checks, and #494 added the lock checks. Both run before the password check.
Fix: return the same 401 message and details for every login failure, and log the specific reason on the server instead. If a locked user needs to know about the lock, show it only after a correct password. #963 is the same problem on password reset.
Related: #226, #963.
- Lenguaje dominante
- TypeScript
- Estrellas
- 4
- Forks
- 0
- Merge medio
- 14 h 50 min
- PR fusionados (30 d)
- 5
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de Garvan-Data-Science-Platform/ctrl
-
Dificultad 1/5 1-3 horas Aptitud para principiantes 82/100
-
admin-client backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
-
backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Garvan-Data-Science-Platform/ctrl#970 · 1 comentario ·
-
backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
-
backend bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Todos los issues de Garvan-Data-Science-Platform/ctrl
Issues similares
-
documentation good first issue
Dificultad 2/5 Medio día Aptitud para principiantes 72/100
sujithputta02/Esapay#13 ·
-
Share dialog: the address book's contact count reads "1 contacts" (no singular form in any language)Posiblemente ocupada @chibenwa la tomó hoy. Abiertoai-driven-qa bug claude Cosmetic
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
linagora/twake-contacts-frontend#271 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Koenkk/zigbee2mqtt#33402 ·
Los mantenedores suelen responder en 1 día
-
dx P2 platform Stellar Wave Wave 10
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
winsznx/routedock#579 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
area:ui effort:S enhancement priority:P2
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día