Registrierung

import { randomBytes, scryptSync, timingSafeEqual } from "node:crypto";

// Gegeben, aus 14.1.
export function hashePasswort(passwort) {
  const salt = randomBytes(16);
  const hash = scryptSync(passwort, salt, 64, { N: 16384 });
  return ["scrypt", 16384, salt.toString("hex"), hash.toString("hex")].join("$");
}

export function pruefePasswort(passwort, gespeichert) {
  const [verfahren, kosten, saltHex, hashHex] = gespeichert.split("$");
  if (verfahren !== "scrypt") return false;

  const erwartet = Buffer.from(hashHex, "hex");
  const berechnet = scryptSync(passwort, Buffer.from(saltHex, "hex"), erwartet.length, { N: Number(kosten) });
  return timingSafeEqual(berechnet, erwartet);
}

import express from "express";
import { DatabaseSync } from "node:sqlite";
import { hashePasswort } from "./passwoerter.js";

const db = new DatabaseSync(":memory:");
db.exec("CREATE TABLE nutzer (id INTEGER PRIMARY KEY, email TEXT NOT NULL UNIQUE, passwort TEXT NOT NULL)");

const app = express();
app.use(express.urlencoded({ extended: true }));

app.get("/", (req, res) =>
  res.type("html").send(
    '<form method="post" action="/registrieren">' +
      '<p><input name="email" value="anna@beispiel.de"></p>' +
      '<p><input name="passwort" value="einlangesgeheimnis"></p>' +
      "<p><button>Konto anlegen</button></p>" +
      "</form>"
  )
);

app.post("/registrieren", (req, res) => {
  const email = (req.body?.email ?? "").trim().toLowerCase();
  const passwort = req.body?.passwort ?? "";

  if (!email.includes("@")) return res.status(400).send("Adresse fehlt oder ist unvollstaendig.");
  if (passwort.length < 10) return res.status(400).send("Das Passwort braucht mindestens 10 Zeichen.");
  if (db.prepare("SELECT id FROM nutzer WHERE email = ?").get(email)) {
    return res.status(409).send("Diese Adresse ist schon vergeben.");
  }

  db.prepare("INSERT INTO nutzer (email, passwort) VALUES (?, ?)").run(email, hashePasswort(passwort));
  res.status(201).send(`Konto angelegt: ${email}`);
});

app.listen(3000);

import { DatabaseSync } from "node:sqlite";

const db = new DatabaseSync(":memory:");
db.exec("CREATE TABLE nutzer (id INTEGER PRIMARY KEY, email TEXT NOT NULL UNIQUE)");

const frei = (email) => db.prepare("SELECT id FROM nutzer WHERE email = ?").get(email) === undefined;

// Zwei Anfragen, die kurz hintereinander hereinkommen. Beide sehen
// nach, beide finden nichts, und erst danach legt die erste an.
console.log(`Anfrage A haelt die Adresse fuer frei: ${frei("doppelt@beispiel.de")}`);
console.log(`Anfrage B haelt die Adresse fuer frei: ${frei("doppelt@beispiel.de")}`);

const anlegen = db.prepare("INSERT INTO nutzer (email) VALUES (?)");
anlegen.run("doppelt@beispiel.de");
console.log("Anfrage A hat angelegt.");

try {
  anlegen.run("doppelt@beispiel.de");
  console.log("Anfrage B hat auch angelegt.");
} catch (fehler) {
  console.log(`Anfrage B wird abgewiesen: ${fehler.message}`);
}

console.log(`Zeilen in der Tabelle: ${db.prepare("SELECT count(*) AS n FROM nutzer").get().n}`);

import { DatabaseSync } from "node:sqlite";

const db = new DatabaseSync(":memory:");
db.exec("CREATE TABLE nutzer (id INTEGER PRIMARY KEY, email TEXT NOT NULL UNIQUE)");
const anlegen = db.prepare("INSERT INTO nutzer (email) VALUES (?)");

// UNIQUE vergleicht Zeichen fuer Zeichen. Fuer die Datenbank sind das
// zwei verschiedene Adressen, fuer den Menschen dahinter ist es eine.
anlegen.run("Anna@Beispiel.de");
anlegen.run("anna@beispiel.de");
console.log(`Zeilen nach zweimal derselben Adresse: ${db.prepare("SELECT count(*) AS n FROM nutzer").get().n}`);

for (const zeile of db.prepare("SELECT id, email FROM nutzer ORDER BY id").all()) {
  console.log(`  ${zeile.id}  ${zeile.email}`);
}

// Und die Gegenrichtung: beim Passwort darf nichts weggeschnitten werden.
const eingetippt = " geheim123 ";
console.log("");
console.log(`eingetippt:      "${eingetippt}" mit ${eingetippt.length} Zeichen`);
console.log(`mit trim():      "${eingetippt.trim()}" mit ${eingetippt.trim().length} Zeichen`);
console.log("Wer beim Anlegen trimmt und beim Anmelden nicht, sperrt den Besitzer aus.");