Reproduire :
-
Activez le paramètre du site
hide email address taken, normalement désactivé, et décrit comme : « Ne pas informer les utilisateurs qu’un compte existe avec une adresse e-mail donnée lors de l’inscription et via le formulaire de mot de passe oublié. » -
Depuis une nouvelle session de navigateur, essayez de vous connecter avec l’e-mail
et fournissez un nom d’utilisateur invalide, tel que codinghorror.
Comportement attendu
Le texte du message d’erreur provenant de l’une des chaînes suivantes doit s’afficher, sans révéler l’existence ou l’inexistence d’un compte.
js.email_login.complete_email :
Si un compte correspond à codinghorror@example.com, vous devriez recevoir un e-mail contenant un lien de connexion sous peu.
js.email_login.complete_username :
Si un compte correspond à codinghorror, vous devriez recevoir un e-mail contenant un lien de connexion sous peu.
Comportement actuel
Le texte du message d’erreur indique incorrectement qu’il y a eu une correspondance positive, même lorsqu’aucune correspondance n’existe.
js.email_login.complete_email_found :
Nous avons trouvé un compte correspondant à codinghorror@example.com, vous devriez recevoir un e-mail contenant un lien de connexion sous peu.
js.email_login.complete_username_found :
Nous avons trouvé un compte correspondant au nom d’utilisateur codinghorror, vous devriez recevoir un e-mail contenant un lien de connexion sous peu.
Commentaires
Bien que cela fonctionne correctement pour le processus de « réinitialisation du mot de passe », il semble que la même logique devrait s’appliquer au flux de connexion par e-mail.
