Hallo,

wie verhindert man, dass der Browser des Clients die Seiten nach dem Login speichert.

Folgendes soll verhindert werden:

User loggt sich ein, und wenn er mit zurück-Button bis zum Login-Fenster kommt, dass er nicht mit dem Vorwärts Button, einfach das Login überlistet.

Das Login hab ich mit Sessions programmiert, aber nicht mit Cookies, sondern datenbankgestützt.

Mister Ad

ich würd die Session enfach beenden. Vielleicht klappts ja.. Oder noch einfacher ich würde einfach ne Funktion schreiben checkuser. In der ich jeden Bereich der nur für Registrierte user ist überprüfe. Die include ich dann in eben jede solcher Dateien und schon kommt kana mehr rein

mepeisen

Das eine schliesst das andere nicht aus. Es würde mich aber mal interessieren, wie du ganz ohne Cookies den Client wiedererkennst.

Zur Frage: Theoretisch ist es nicht möglich. Eine praktische Lösung wäre, sich zu merken, wann der User das letzte mal eine Seite besucht hatte (z.B. microtime), dieses in jedem Link mitzugeben und so zu merken, dass ein User nach dem Login noch weitere Seiten aufgerufen hatte.

fantast

nein es geht ja darum, dass die seiten aus dem browser-cache geladen werden. dazu kann man einige http-header mitsenden um dies zu verhindern google

__________________
Was ist validität?

Ich habe eine Sessionverwaltung programmiert, bei der jedesmal, wenn der User mit einer Session-ID(die per Get in der URL übergeben wird) eine Seite aufruft, der Zeitstempel in der DB abgelegt wird. Ich erkenne den User anhand der Session-ID und weiß, wann er das letzte mal eine Seite im System aufgerufen hat. Ich habe nämlcih auch noch maximale Verbleibdauer eingebaut, nach der jeder User nach einer bestimmten Zeit automatisch ausgeschlossen wird.

mepeisen

Und wo ist nun der Unterschied, wenn du das ganze per session machst und die Cookies dort schlichtweg ausschaltest???

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih

Moment mal, ich habe eine andere Methode der Sessionverwaltung genommen, und habe nur nachgefragt, ob es für dieses Problem eine Lösung gibt.

Ich will und werde nicht über Cookies programmieren.

mepeisen

hast meine Frage nicht verstanden, aber sei es drum.
Nunja. Ich wiederhole noch einmal die Antworten. Demnach gibt es zwei praktikable Lösungen:

Entweder du gibst in jeder Seite einen eindeutigen Wert mit (microtime bietet sich an) und prüft bei jedem Seitenaufruf, ob der eindeutige Wert mit dem in der DB übereinstimmt. Wenn nicht: --> Fehler.
Dadurch umgehst du auch in doppeltes Abschicken eines POST- Formulars "elegant".

Die zweite Variante von fantast sieht vor, den Browser zu zwingen, die Seite nicht zu cachen.

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih