Hallo,
ich habe eine Website mit Typo3 mit einem geschütztem Bereich für Vereinsmitglieder erstellt.
Login in den geschützten Bereich funktioniert auch.
Nach einem erfolgreichen Logout ist es allerdings möglich, mit dem 'Zurück'-Button des Browsers die zuvor angezeigten, geschützten Seiten anzusehen.
Wie kann ich dies verhindern?
Danke und Gruß,
Carsten
Hallo,
leider nein. Der Browser cached die Seite. Somit kommst du über den zurück Button auf die entsprechende Seite. In Reload, bzw. andere Seiten in dem geschützten Bereich sollten dann aber nicht gehen.
Gruß
Andreas
Hallo Q4U Muetz,
danke erst mal für Deine Antwort.
Ja es ist so, wenn ich mit dem 'Zurück'-Button des Browser auf geschützte Seiten zurückgehe und in eine Seite klicke, dass ich auf die Login-Seite umgeleitet werde.
Allerdings wäre mir sehr daran gelegen, auch das Betrachten geschützter Seiten (mit z.T. sensiblen Daten) mit Hilfe des 'Zurück'-Buttons zu unterbinden. #paralyzed#
Gibt es da keine Möglichkeit, etwas mit 'sessions' zu machen?
Ich kenne dieses Thema leider nicht, habe nur gehört, dass über Sessions geschützte Bereiche 'gesteuert' werden können.
Kann mir jemand dazu etwas sagen?
- Kann mit 'Sessions' das oben geschilderte Problem überhaupt gelöst werden?
- Können 'Sessions' mit Typo3 verwendet/kombiniert werden?
- Kann mir jemand Tipps/Literatur zum Einstieg in das Thema nennen?
Gruß,
Carsten
Allerdings wäre mir sehr daran gelegen, auch das Betrachten geschützter Seiten (mit z.T. sensiblen Daten) mit Hilfe des 'Zurück'-Buttons zu unterbinden.
Nutzer die die geschützen Seiten sehen, haben sich ja vorher eingeoggt und sind somit berechtigt an die Daten zu kommen. Wenn der Nutzer dann den "Zurück"-Button nutzt, ist er ja immer noch berechtigt (wenn auch nicht eingeloggt), die Daten zu sehen. Es ist ja nicht so, daß ein unpriviligierter Nutzer, nur alleine durch das Rumspielen mit dem "Zurück" an geschützte Seiten kommt.
Das Problem liegt, wie Q4U Muetz schon geschrieben hat, in der Caching-Funktion deines Browsers. Wenn du die geschützte Seite aufruftst, speichert er die Seite lokal ab. Meldest du dich ab, kriegt der Browser das ja nicht in dem Sinne mit, daß er weiß, das du die Seiten nicht mehr anschauen darfst. Klickst du auf "Zurück" holt er dann nur die lokale-Kopie von der Festplatte, anstatt die Datei (aus Performance-Gründen) vom Server neu anzufordern => Du siehst die geschützen Infos. Lädst du die Seite neu, startet der Browser eine Anfrage an den Server und dann erst merkt er, daß du die Seite nicht mehr anschaun darfst.
Du kannst ja mal versuchen, mit einer ensprechenden Header Anweisung das Caching für die geschützen Seiten zu unterbinden. Obs was hilft weiß ich nicht.
- Kann mit 'Sessions' das oben geschilderte Problem überhaupt gelöst werden?
- Können 'Sessions' mit Typo3 verwendet/kombiniert werden?
Die Typo3-Login Funktionen werden bereits über Sessions realisiert. Anders wäre es gar nicht möglich, da HTTP ein Zustandsloses Protokoll ist.
- Kann mir jemand Tipps/Literatur zum Einstieg in das Thema nennen?
Zu welchem Thema? Session oder Typo3 oder...?
Hallo Woida,
danke für Deine Ausführungen. Jetzt ist mir der Zusammenhang klar geworden.
Es muss aber wohl mindestens eine Lösung für dieses grundsätzliche Problem (Browser-Cache) geben:
Wenn ich mich z.B. bei Web.de einlogge, meine Mails einsehe und wieder auslogge, komme ich mit dem Zurück-Button des Browser nicht wieder in den geschützten Bereich herein.
Stattdessen wird eine Seite mit dem Hinweis, dass ich keine Zugangsberechtigung habe und einem Login-Formular angezeigt.
Nur mit einer erneuten Anmeldung gelange ich wieder an meine Emails.
Da muss dem Browser doch irgendwie mitgeteilt worden sein, dass er die Seite neu vom Server anfordern muss oder der Cache ist geleert worden ...
Kann das jemand erklären?
Danke und Gruß,
Carsten
Welche zusätzliche Sicherheit erhoffst du dir denn?
Hallo woida,
wir haben einen PC abgestellt, an dem verschiedene Benutzer nach entsprechendem Login ihre eigenen Daten auf der Website sehen/bearbeiten können.
Wenn sich nun ein Benutzer abmeldet, sollte ein nachfolgender Benutzer nicht die Möglichkeit haben sich mit Hilfe des Zurück-Buttons die Daten des zuvor abgemeldeten Benutzers anzusehen.
Wenn es da keine andere Möglichkeit gibt, muss halt an dem Rechner der Browser-Cache abgeschaltet werden.
Gruß, Carsten
Du könnest zuerst probieren, ob
<meta http-equiv="expires" content="0" />
im Header der geschützten Seiten was hilft.
Hallo,
wie wäre es den cache des browsers auf 0MB zu stellen?
hab aber noch nie ausprobiert ob er dann wirklich nix cached.
Grüße
t3po
t3po schriebhab aber noch nie ausprobiert ob er dann wirklich nix cached.
Dann probier es aus und berichte darüber.
Ausprobiert hab ich es jetzt, und muss sagen es bringt nix. 😃
Aber eigentlich wollte ich ja nur mal ein anregung geben.
Da ich das Problem nicht habe.
Servus,
zusätzlich müsste der Nutzer sämtliche Offline-Inhalte löschen, um sicher zu gehen, dass der/die Nächste wirklich nicht an die Daten kommt.
Habe mich mit drei Banken zwecks Online-Banking eingelassen und alle haben nach dem Logout den Hinweis, sämtliche Daten lokal zu löschen.
So ein Hinweis sollte dann doch auch auf Deiner Seite ausreichend sein, wenn selbst Banken so etwas benutzen?
Grüßle
Falk
Hallo,
ich werde unseren Leuten dann wohl entsprechende Hinweise geben,
damit ein nachfolgender Benutzer die Daten nicht mehr einsehen kann.
Danke an alle,
die geantwortet haben.
Gruß, Carsten
firefox so definieren, dass beim schließen alle daten immer gelöscht werden und fertig, muss der benutzer halt den browser schließen
georg
Hallo just2b,
diese Möglichkeit bedeutet wahrscheinlich den geringsten Aufwand.
Obwohl da auf die Disziplin und das Verantwortungsbewusstsein jedes einzelnen gesetzt werden muss.
Sollte aber zu machen sein, wenn man den Leuten den Grund dieses Vorgehens nahe bringt.
Danke und Gruß,
Carsten
Hallo, Carsten,
mich selbst stört das caching-Verhalten des Firefox 1.5, vor allem beim Entwickeln (warum ist die Option no cache verschwunden #angry# ).
Vielleicht hilft Dir ja folgendes weiter:http://developer.mozilla.org/en/docs/Using_Firefox_1.5_caching.
Habe es allerdings noch nicht ausprobiert, ob "cache-control: no-store" zieht oder nicht.
Grüßle
Falk