Прошу пардона, техника скорочтения не всегда приносит положительные результаты))

Говорили, да. Но почему то не слушали контр-аргументов.

Разница есть. И я её привел неоднократно. Если нет предупреждения, что пароль неприемлит пробелов по краям, то разница просто огромна. Хэш привести для сравнения? И постарайся вникнуть в то, что я приводил контраргументом: Уж коли ты принял пароль с пробелами, ты не должен пускать в аккаунт без них. Ибо это другой пароль.

Не посмотришь. Ибо я так никогда не сделаю. Если есть желание хранить пароль в открытом виде - о чем мы вообще разговариваем.

Специалисты по юзабилити должны сделать удобным интерфейс, а не решать за меня, какие символы использовать. Запрети, порекомендуй, но не смей трогать мою собственность. А в данном случае ( с друпалом) я с огромной вероятностью могу сказать, что никакие специалисты юзабилити этого не касались. Это простая привычка программиста - резать пробелы. Только в поле "пароль" она не уместна. И вообще, такие вещи как пароль, должны регламентироваться специалистами по БЕЗОПАСНОСТИ, а не юзабильщиками. А если безопасник понимает, что тут возможно коллизия, ни кто никогда не посмеет ему возразить про удобство.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

а гугл говорили сохраняет. Возможности технические есть обеспечить безопасность. А твое уверование в этом алгоритме уже сыпется.

Ну а что из кода не видно - обрезать пробелы по краям емейла (им там делать нечего). Если вдруг клиентский код этой функции этого не сделал, например при программном сохранении юзера.

тут ты походу не понял код. Из базы берется путь к файлу с возможно другой логикой хэширования. Отличный ход имхо, для безопасности.


_____________
There never was a struggle in the soul of a good man that was not hard

А кто может гарантировать, что все сотрудники гугла честные и порядочные люди? Кто может дать гарантию, что утечка не возможна? Это как раз говорит о гуле не в лучшую сторону, раз они хранят открытые пароли, значит они им зачем то нужны. Возникает логичный вопрос, зачем?

Для удобства пользователям.
Если призабыл пароль, тебе его напомнят, а не сгенеририруют. Ну тут понятно что в общем случае не годится, но дело имеет место быть.

Насчет недобросовестного сотрудника, то если он может как то пробить доступ к тому суперсекретному серверу-ларцу в котором реализована логика получения исходного пароля, то он мог бы и так угнать учетку как нибудь полегче. Если он такой Немо.


_____________
There never was a struggle in the soul of a good man that was not hard

Для это и нужно использовать не обратимые алгоритмы

ты не понял, эти необратимые алгоритмы побоку если он имеет например доступ к БД на уровне сисадмина и прочее.

_____________
There never was a struggle in the soul of a good man that was not hard

Да нет, как раз наоборот, шифрование для того и применяется, если каким либо образом произойдет утечка, то вытащить пароль так просто не удастся. Если бы можно было сто процентно гарантировать не возможность утечки, шифрование не имело бы смысла, как таковое.

Пряча голову в песок, страус то же так думает, что проблема решена

1. Если запрещено, то на авторизации режь сколько хочешь. Или предупреждай - использованы недопустимые символы.
2. Для этого существует повтор пароля. Если юзеру и этого недостаточно - его проблема. Я же говорил - не прикрывайте этот ляп заботой о юзерах. Иначе можно далеко зайти. Начать исправлять за ним раскладку с помощью транслитерации, капслок исправлять на стороне сервера. А чего, те же рассуждения - удобство пользователя. А на безопасность плевать.

Что там гугл в своих недрах творит - на его совести. Может и хранят открытые пароли. И даже скорее всего. Больше скажу - они наверняка анализируют их. Потому что такие монстры как гугл не могут работать сами по себе, ЦРУ там как у себя дома. Повторю - можете мартышничать за ними. Не исключаю, что и твой хваленый друпал мартышничает. Однако у гугла свои задачи, нам не известные. А у рядового сайта задача другая. В первую очередь обезопасить себя от казусов. По этому нельзя хранить пароли в открытом виде. И неоднозначностей допускать нельзя. Пароль должен быть таким, каким его ввел юзер. Точка. Иначе себе дороже.

Видно. Я спросил не что делает этот код, а его целесообразность. Зачем резать пробелы там, где их не может быть по определению. Тоесть в функции сохранения пользовательских данных. Если и резать, то в валидаторе, после которого такое поползновение становится совершенно излишним.

Всё я понял. Это ты не понял.)) Расширение .inc для исполняемых файлов давно уже считается плохим тоном. Ибо это обычный текстовый файл, который легко читается браузером. При использовании такого расширения мы становимся заложниками наличия .htaccess, а это никак не повышает безопасность.

И вообще. Ты реально считаешь друпал вершиной мироздания?
Смотрим функцию генерации пароля, раз уж тут речь о нем:

function user_password($length = 10) {
  // This variable contains the list of allowable characters for the
  // password. Note that the number 0 and the letter 'O' have been
  // removed to avoid confusion between the two. The same is true
  // of 'I', 1, and 'l'.
  $allowable_characters = 'abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789';

  // Zero-based count of characters in the allowable list:
  $len = strlen($allowable_characters) - 1;

  // Declare the password as a blank string.
  $pass = '';

  // Loop the number of times specified by $length.
  for ($i = 0; $i < $length; $i++) {

    // Each iteration, pick a random character from the
    // allowable string and append it to the password:
    $pass .= $allowable_characters[mt_rand(0, $len)];
  }

  return $pass;
}

Это писали 450 человек и несколько тысяч тестили в течении нескольких лет... А это я сейчас написал на коленке. Код в два раза короче, работает в три раза быстрее. Если пренебречь повторами, то еще короче окажется, но если делать, то аналог.

function user_password($length = 10) {
  // This variable contains the list of allowable characters for the
  // password. Note that the number 0 and the letter 'O' have been
  // removed to avoid confusion between the two. The same is true
  // of 'I', 1, and 'l'.
  $allowable_characters = 'abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789'; 
  
  // Increases string for a possible repeat of characters
  $increases_string = str_pad('', 171, $allowable_characters); 
  
  // Shuffles a string
  $shuffled_string  = str_shuffle($increases_string);
  
  // Returns $lenght number of characters
  return  substr($shuffled_string, 0, $length);
} 

Неужели ты серьёзно считаешь, что ничего там нельзя найти, чего можно было бы улучшить?

Его тоже пишут люди. И им свойственно заблуждаться. И если бы поборники сей замечательной системы иногда бы включали мозги, а не тупо копипастили код, система была бы куда лучше. И не было бы вот таких статей и комментариев к ней.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.