search

cmsimple-xh / xhshop

A simple shop for CMSimple_XH
GNU General Public License v3.0
4 stars 3 forks source link

Customer data are not properly checked #113

Closed cmb69 closed 7 years ago

cmb69 commented 7 years ago

Es ist möglich Bestellungen aufzugeben, ohne die Kontaktdaten vollständig auszufüllen (nur die E-Mail-Adresse genügt), und ohne zu bestätigen, dass man die AGB gelesen hat. Dazu muss man einfach im 2. Schritt des Checkout nur die E-Mail-Adresse eintragen, und in der Entwicklerkonsole im Formular des "weiter" Schalters für xhsCheckout finish statt checkCustomersData eintragen.

frase-git commented 7 years ago

Es ist gut, solche Dinge aufzudecken und wenn möglich zu verhindern.

Dennoch zur Erinnerung: Von manipulierten Bestellungen kann der Betreiber zurücktreten bzw. muss sie nicht bedienen. Wie auch, wenn er keine Versandadresse hat. Vielleicht sollte die Kenntnisnahme der AGB noch bis zum Ende (Mails) durchgeschleift werden - was wohl aber auch zu manipulieren wäre.

cmb69 commented 7 years ago

Von manipulierten Bestellungen kann der Betreiber zurücktreten bzw. muss sie nicht bedienen.

Na ja, der Besteller braucht ja nur ein einziges eigentlich erforderliches Feld auslassen (z.B. das er die AGB gelesen hätte), und später behaupten er habe den Kaufvorgang ganz normal durchgeführt. Da müsste im Zweifel der Shopbetreiber nachweisen, dass zum Bestellzeitpunkt kein Bug in der Software vorlag. Zumindest heikel.

Vielleicht sollte die Kenntnisnahme der AGB noch bis zum Ende (Mails) durchgeschleift werden - was wohl aber auch zu manipulieren wäre.

Nein, das kann verhindert werden, indem ab dem 3. Schritt geprüft wird, ob die erforderlichen Kundendaten in der Session auch tatsächlich vorhanden sind. Außer über den Aufruf von PHP kann der Inhalt der Session nämlich nicht manipuliert werden.

frase-git commented 7 years ago

Das würde ich sogleich als Vorschlag einreichen: Den Satz ...

Ich habe die AGB und den in ihnen enthaltenen Hinweis auf mein Widerrufsrecht gelesen und bin einverstanden. BESTÄTIGT

... würde ich in beiden Mails mit anfügen. So hat der Betreiber eine (Schein)Rechtssicherheit und der Kunde wird vielleicht erinnert, doch nochmal zu lesen.

In den AGB kann der Betreiber (elektronisch) manipulierte Bestellungen ablehnen.

cmb69 commented 7 years ago

Das würde ich sogleich als Vorschlag einreichen:

Ja, klingt sinnvoll. Mach ich gleich.

cmb69 commented 7 years ago

Mach ich gleich.

Erledigt in 1910849. Interessanterweise gab es bereits Sprachtexte dafür, aber die waren als Überschriften ausgelegt, und wurden in den Mail-Templates gar nicht verwendet. Es sieht mir so aus als ob mehrere Sprachvariablen (+ mail_annotation) gar nicht gebraucht würden, und entfernt werden können. @frase-git Kannst du das bestätigen?

frase-git commented 7 years ago

Das sieht ganz danach aus. Zumindest gefühlt. Ohne Sicherheit ;-)

Wie geht man in solchen Fällen vor? Durch bloßes Durchlesen findet man doch die überflüssigen nicht. Oder man entfernt gar noch benötigte.

cmb69 commented 7 years ago

Wie geht man in solchen Fällen vor? Durch bloßes Durchlesen findet man doch die überflüssigen nicht. Oder man entfernt gar noch benötigte.

Im Zweifel in allen relevanten Dateien nach dem Schlüssel suchen (aber ohne mail_ Präfix). Wenn man nichts findet, dann kann man die Variablen entfernen. Danach halt noch etwas Testen – wenn was entfernt wurde, was noch benötigt wird, dann wird sich das wohl noch vor 1.0 finden.

Im Zweifel mach ich das nachher. :)

frase-git commented 7 years ago

Erledigt in 1910849.

Sie haben bestätigt die AGB und den in ihnen ...

Das würde ich entweder ganz allgemein halten: "Die AGB wurden zur Kenntnis genommen und akzeptiert." oder tatsächlich den Text aus Step 2 wiederholen und "wurde bestätigt" oder sowas anfügen.

So, wie du es jetzt drin hast, bezieht sich das zu sehr auf den Text in Step 2. Würde der geändert, müsste zwangsläufig auch der neue Text geändert werden.

cmb69 commented 7 years ago

Okay, dann würde ich die erste Variante bevorzugen. Passt dann auch besser zum englischen Text "You have agreed to our C.O.S." Übrigens müsste das ganze COS-Zeugs mal umbenannt werden. Vgl. http://www.dict.cc/?s=conditions+of+service vs. http://www.dict.cc/?s=agb. SBT erschein angebracht. Ist eher eine Kleinigkeit, hilft aber bezüglicher einer Ubiquitous Language.

frase-git commented 7 years ago

Aua, ja. Da habe ich noch nie drüber nachgedacht. Und wahrscheinlich wäre GTC genauer. Aber das muss jemand anderes entscheiden. Das wird noch ein Spielchen ...

cmb69 commented 7 years ago

Und wahrscheinlich wäre GTC genauer.

Kann gut sein. Hängt möglicherweise auch vom Land ab. Auf bcas Website wird von "Terms & Conditions" gesprochen, also denke ich, dass wir mit GTC nicht völlig falsch liegen. Und zumindest für den internen Gebrauch (Namen des Sprachschlüssel etc.) sollte das okay sein. Die eigentlichen Sprachtexte können ja bei Bedarf noch angepasst werden.

cmb69 commented 7 years ago

Und wahrscheinlich wäre GTC genauer. Aber das muss jemand anderes entscheiden.

Das habe ich nun einfach gemacht: baac5e4 (kann ja später wieder geändert werden, wenn falsch).

cmb69 commented 7 years ago

"Die AGB wurden zur Kenntnis genommen und akzeptiert."

Erledigt: 81fdb64

Im Zweifel mach ich das nachher. :)

Getan: 93f9f82