Login und Passkeys auf Prepared Statements umgebaut

- sites/start.php: ein Query statt zwei, Passwortvergleich per hash_equals
  in PHP statt im SQL, Updates per id. Die Eingaben gehen nicht mehr durch
  htmlspecialchars(): Passwoerter werden beim Anlegen roh gehasht, mit
  & < > " ' konnte man sich deshalb bisher nie anmelden.
- getUserSetting/updateUserSetting mit Platzhaltern; behoben: INSERT-Zweig
  rief mysqli_real_escape_string ohne Verbindung auf (Fatal Error),
  $mysqli_error als Variable, ungewolltes echo "update". Aufrufer escapen
  nicht mehr vor (sonst doppelt), settings.php: Tippfehler
  mysqi_real_escape_string beim Speichern von show_sks behoben, style nur
  als Dateiname ohne Pfad.
- authServer.php, addKey.php, userkeys.php, checkAdduser(): Platzhalter.
  Passkey-INSERT setzt lastAuth/authKey (Pflichtfelder im strikten Modus).
  addKey nur als reine Ziffern, sonst passte "12345678xyz" per Typumwandlung.
- checkLogin() entfernt: nirgends aufgerufen, fragte die nicht existierende
  Tabelle users ab.
- userkeys.tpl: Passkey-Name escaped.

Getestet gegen die migrierte Testdatenbank im strikten Modus.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

incs/authHelper.php

@@ -84,41 +84,17 @@ function isLocal(){
     return $lokal;
 }
 
-function checkLogin(){
-    global $mysql;
-    //$mysql = new mysqli($GLOBALS["mysql_server"],$GLOBALS["mysql_user"],$GLOBALS["mysql_pass"],$GLOBALS["mysql_db"]);
-    if(isLocal()){
-        $_SESSION["local"] =true;
-        return true;
-    }
-    if(isset($_SESSION["authKey"])){
-        $res = mysqli_query($mysql,"SELECT id FROM users WHERE lastAuth > DATE_SUB(NOW(), INTERVAL 2 DAY) AND authKey = '".mysqli_real_escape_string($mysql,$_SESSION["authKey"])."' AND name = '".mysqli_real_escape_string($mysql,$_SESSION["user"])."';");
-        if(!$res){
-            echo mysqli_error($mysql);
-            return false;
-        }
-        if(mysqli_num_rows($res) == 1){
-            return isset($_SESSION["Logged"]);
-        }
-    }else{
-        return false;
-    }
-}
-
+/* Ist $_GET["addKey"] eine gültige, höchstens eine Minute alte Freigabe? */
 function checkAdduser(){
     global $mysql;
-    //$mysql = new mysqli($GLOBALS["mysql_server"],$GLOBALS["mysql_user"],$GLOBALS["mysql_pass"],$GLOBALS["mysql_db"]);
-    if(!mysqli_query($mysql,"DELETE FROM addKey WHERE datetime < DATE_SUB(NOW(), INTERVAL 1 MINUTE);")){
-        echo mysqli_error($mysql);
-    }
-    $result = mysqli_query($mysql,"SELECT * FROM addKey WHERE accesskey='".mysqli_real_escape_string($mysql,$_GET["addKey"])."';");
-    if(!$result){
+    db_abfrage($mysql, "DELETE FROM addKey WHERE datetime < DATE_SUB(NOW(), INTERVAL 1 MINUTE)") or print(mysqli_error($mysql));
+    // Nur reine Ziffern: accesskey ist eine Zahlenspalte, MariaDB würde
+    // "12345678xyz" beim Vergleich stillschweigend zu 12345678 machen.
+    $key = $_GET["addKey"] ?? "";
+    if(!is_string($key) || !ctype_digit($key))
         return false;
-    }
-    if ($result->num_rows > 0) {
-        return true;
-    }
-    return false;
+    $anzahl = db_wert($mysql, "SELECT COUNT(*) FROM addKey WHERE accesskey = ?", array((int)$key));
+    return $anzahl > 0;
 }
 
 ?>