Vor wenigen Tagen habe ich euch über die neue Funktion in WordPress 4.7 informiert, Videos als Header zu verwenden. Heute möchte ich euch auf eine kleine Sache aufmerksam machen, die auch mir entgangen wäre hätte ich nicht auf Twitter einen Retweet von Frank Bültge gesehen.
https://twitter.com/Coffeechains/status/806738580341014528
Der Tweet von @Coffeechains ist leider etwas missverständlich formuliert und dadurch entstand eine Diskussion auf Twitter. Dass die Passwortlänge auf 255 Zeichen erhöht wurde ist korrekt, aber hier sind nicht User-Passwörter gemeint, sondern Post-Passwörter.
Zum Glück konnte Dominik uns diesbezüglich aufklären und verwies uns gleich zum richtigen Patch auf Trac.
https://twitter.com/ocean90/status/806790447825727488
Post-Passwörter
Beiträge, Seiten und andere Post Types können schon lange mit einem Passwort versehen werden um es vor fremden Blicken zu schützen. Dies klappt einfach über die Veröffentlichen-Metabox im Backend. Bis WordPress 4.6 war dieses Feld allerdings auf 20 Zeichen begrenzt.
Mit WordPress 4.7 floss ein Patch ein, der dieses Passwort Feld auf 255 Zeichen erhöht. Nun lassen sich also auch längere Passwörter verwenden.
Passwörter sind Klartext
Die Passwörter für Posts werden als Klartext in der Datenbank hinterlegt. D.h. sie werden nicht gehasht oder anderweitig verschlüsselt. Grundsätzlich sollte man das nie mit Passwörter tun, aber für diese Art von Passwörtern wird das in WordPress bewusst ignoriert.
Der Grund: Autoren können die Passwörter so sehen und genau das wollen die meisten Nutzer auch. Denn oft legt man ein Passwort an und nach einiger Zeit muss man es einer anderen Person weitergeben.
Cut-Off
Ich nutze Post-Passwörter sehr selten und daher wäre mir dieser Patch so schnell nicht aufgefallen. Für diesen Post habe ich die Funktion noch mal getestet und dabei ist mir aufgefallen, dass man zwar nun Passwörter bis 255 Zeichen speichern kann, aber wenn das Passwort länger ist, wird es rigoros abgeschnitten. Dies passiert leider ohne Warnung.
Bis hier hin finde ich es aber noch nicht schlimm. Warum ich das erwähne, wenn man nun das zu lange Passwort mit über 255 Zeichen im Frontend eintippt um den Post sehen zu können passiert gar nichts. Denn anscheinend findet der Cut-Off nicht im Frontend statt, wenn man den Post entsperren will. Löscht man allerdings die Zeichen von hinten und kürzt das Passwort auf 255 Zeichen funktioniert es.
Ich werde das noch mal checken und ggf. ein Issue öffnen, damit das Problem behoben werden kann, falls es ein Problem ist und ich mich nicht irre (auch das soll schon mal vorgekommen sein )