Ngăn người dùng xem trang bảo mật đã truy cập trước đó sau khi đăng xuất

Tôi có yêu cầu rằng người dùng cuối không thể quay lại trang bị hạn chế sau khi đăng xuất / đăng xuất. Nhưng hiện tại người dùng cuối có thể làm điều đó bằng nút quay lại trình duyệt, truy cập lịch sử trình duyệt hoặc thậm chí bằng cách nhập lại URL vào thanh địa chỉ của trình duyệt.

Về cơ bản, tôi muốn rằng người dùng cuối sẽ không thể truy cập trang bị hạn chế theo bất kỳ cách nào sau khi đăng xuất. Làm thế nào tôi có thể đạt được điều này tốt nhất? Tôi có thể tắt nút quay lại bằng JavaScript không?

Bạn có thể và không nên tắt nút quay lại hoặc lịch sử của trình duyệt. Điều đó không tốt cho trải nghiệm người dùng. Có các bản hack JavaScript, nhưng chúng không đáng tin cậy và cũng sẽ không hoạt động khi máy khách đã tắt JS.

Vấn đề cụ thể của bạn là trang được yêu cầu được tải từ bộ nhớ cache của trình duyệt thay vì trực tiếp từ máy chủ. Điều này về cơ bản là vô hại, nhưng thực sự gây nhầm lẫn cho người dùng cuối, bởi vì họ nghĩ sai rằng nó thực sự đến từ máy chủ.

Bạn chỉ cần hướng dẫn trình duyệt không lưu vào bộ nhớ cache tất cả các trang JSP bị hạn chế (và do đó không chỉ trang đăng xuất / hành động!). Bằng cách này, trình duyệt buộc phải yêu cầu trang từ máy chủ thay vì từ bộ đệm và do đó tất cả các kiểm tra đăng nhập trên máy chủ sẽ được thực hiện. Bạn có thể thực hiện việc này bằng Bộ lọc đặt các tiêu đề phản hồi cần thiết trong doFilter()phương thức:

@WebFilter
public class NoCacheFilter implements Filter {

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;

        response.setHeader("Cache-Control", "no-cache, no-store, must-revalidate"); // HTTP 1.1.
        response.setHeader("Pragma", "no-cache"); // HTTP 1.0.
        response.setDateHeader("Expires", 0); // Proxies.

        chain.doFilter(req, res);
    }

    // ...
}

Ví dụ: ánh xạ điều này Filtertrên một url-patternmối quan tâm *.jsp.

@WebFilter("*.jsp")

Hoặc nếu bạn chỉ muốn đặt hạn chế này trên các trang được bảo mật, thì bạn nên chỉ định mẫu URL bao gồm tất cả các trang được bảo mật đó. Ví dụ: khi tất cả chúng đều nằm trong thư mục /app, thì bạn cần chỉ định mẫu URL của /app/*.

@WebFilter("/app/*")

Thậm chí, bạn có thể thực hiện công việc này giống Filternhư khi bạn đang kiểm tra sự hiện diện của người dùng đã đăng nhập.

Đừng quên xóa bộ nhớ cache của trình duyệt trước khi thử nghiệm! ;)

Xem thêm:

• Bộ lọc xác thực và servlet để đăng nhập
• Làm cách nào để kiểm soát bộ nhớ đệm của trang web, trên tất cả các trình duyệt?

* .jsp trong Mẫu Url sẽ không hoạt động nếu bạn chuyển tiếp một trang. Cố gắng bao gồm cả servlet của bạn .. điều đó sẽ giúp ứng dụng của bạn an toàn khỏi sự cố nút quay lại này.

Cách đơn giản nhất để làm điều đó mà không vô hiệu hóa trình duyệt quay lại buton là thêm mã này vào page_loadsự kiện cho trang mà bạn không muốn người dùng quay lại sau khi đăng xuất:

if (!IsPostBack)
    {
        if (Session["userId"] == null)
        {
            Response.Redirect("Login.aspx");
        }
        else
        {
        Response.ClearHeaders();
        Response.ClearContent();
        Response.Clear();
        Session.Abandon();
        Session.Remove("\\w+");
        Response.AddHeader("Cache-Control", "no-cache, no-store, max-age = 0, must-revalidate");
        Response.AddHeader("Pragma", "no-cache");
        Response.AddHeader("Expires", "0");
        }
    }

Bạn có thể thử yêu cầu trình duyệt không lưu vào bộ đệm trang chủ (sử dụng các tiêu đề thích hợp - Expires, Cache-Control, Pragma). Nhưng nó không được đảm bảo để hoạt động. Những gì bạn có thể làm, là thực hiện một cuộc gọi ajax tới máy chủ khi tải trang để kiểm tra xem người dùng đã đăng nhập chưa và nếu chưa - chuyển hướng.

Cách chính xác để làm điều này là thêm

Vary: Cookie

tiêu đề trên các trang bảo mật. Khi người dùng đăng xuất, hãy xóa cookie phiên của họ. Sau đó, khi họ điều hướng trở lại sau khi đăng xuất, bộ nhớ cache của trình duyệt sẽ bỏ lỡ. Điều này cũng có lợi ích là không đánh bại hoàn toàn bộ nhớ đệm.