Verhindern, dass Benutzer sehen, die zuvor besuchte gesicherte Seite nach logout

Du kann und sollte nicht deaktivieren der zurück-Schaltfläche Ihres Browsers oder Geschichte. Das ist schlecht für die user experience. Es gibt JavaScript-hacks, aber Sie sind nicht zuverlässig und wird auch nicht funktionieren, wenn der client JS deaktiviert hat.

Ihre konkrete problem ist, dass die angeforderte Seite wird geladen wurden, aus dem browser-cache, anstatt direkt aus dem server. Dies ist im wesentlichen harmlos, aber in der Tat verwirrend für den Anwender, da er fälschlicherweise glaubt, dass es wirklich vom server kommt.

Müssen Sie nur den browser anweisen, nicht cache alle die eingeschränkte JSP-Seiten (und damit ist nicht nur die logout-Seite/Aktion an sich!). Auf diese Weise wird der browser gezwungen, die Anforderung der Seite vom server anstatt aus dem cache und damit alle login-checks auf dem server ausgeführt werden. Sie können dies tun, mit einem Filter setzt erforderlich Antwort-Header in der doFilter() Methode:

@WebFilter
public class NoCacheFilter implements Filter {

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;

        response.setHeader("Cache-Control", "no-cache, no-store, must-revalidate"); //HTTP 1.1.
        response.setHeader("Pragma", "no-cache"); //HTTP 1.0.
        response.setDateHeader("Expires", 0); //Proxies.

        chain.doFilter(req, res);
    }

    //...
}

Map diese Filter auf eine url-pattern von Interesse, zum Beispiel *.jsp.

@WebFilter("*.jsp")

Oder, wenn Sie wollen diese Einschränkung auf gesicherten Seiten nur, dann sollten Sie ein URL-Muster, die enthält alle gesicherten Seiten. Zum Beispiel, wenn Sie alle in den Ordner /app, dann müssen Sie das URL-Muster der /app/*.

@WebFilter("/app/*")

Sogar mehr, die Sie tun können, diesen job in der gleichen Filter da, wo Sie überprüft die Anwesenheit der angemeldeten Benutzer.

Vergessen Sie nicht, cache löschen vor dem testen! 😉

Siehe auch:

• Authentifizierung filter-und servlet für die Anmeldung
• Wie kontrollieren Sie die web-Seite Zwischenspeichern, in allen Browsern?

InformationsquelleAutor BalusC

Der einfachste Weg, es zu tun, ohne das deaktivieren der browser "zurück" - buton ist, indem Sie diesen code an den page_load Ereignis für die Seite, die Sie nicht möchten, dass der Benutzer zurück zu gehen, um nach der Abmeldung:

if (!IsPostBack)
    {
        if (Session["userId"] == null)
        {
            Response.Redirect("Login.aspx");
        }
        else
        {
            Response.ClearHeaders();
            Response.AddHeader("Cache-Control", "no-cache, no-store, max-age=0, must-revalidate");
            Response.AddHeader("Pragma", "no-cache");
        }
    }

InformationsquelleAutor Ashraf Abusada

Den richtigen Weg, dies zu tun, fügen Sie die

Vary: Cookie

header auf gesicherte Seiten. Wenn sich der Benutzer abmeldet, löschen, session-cookie. Dann, wenn Sie zurück navigieren, nachdem Sie sich Abmelden, den browser-cache miss. Dies hat auch den Vorteil, dass es nicht völlig besiegen-caching.

InformationsquelleAutor Dan