Browser-Blättern nach Logout im FE

[ghost]

Nach erfolgreichem Logout im FE kann man noch die geschützten Seiten mit den Browser-Zurück-Buttons aufrufen. Editieren geht zwar nicht, aber dennoch ist das ja so nicht wirklich geschützt.

--- Originally created by Oden on May 18th, 2010, at 07:30pm (ID 1995)

[leofeyer]

Die Seiten befinden sich ja auch nach wie vor im Browser-Cache = kein TYPOlight-Fehler.

--- Originally created on May 19th, 2010, at 12:21pm

[ghost]

Auch ich wurde gerade von Kunden darauf angesprochen, warum die vielgepriesene Sicherheit von TL im Frontend - bei abgeschaltetem Browser- und TL-Chache - versagt. Da das Verhalten im BE ganz anders ist und der Zurückbutton +nicht+ dazu führt, dass man "wieder drin" ist, hätte ich mir an dieser Stelle eine nachvollziehbarere Erklärung gewünscht.

--- Originally created by Anke on May 19th, 2010, at 06:09pm

[leofeyer]

Auch im Backend kann ich mit dem Zurück-Button bereits abgerufene Inhalte ansehen. Ich muss dazu nur in den Offlinemodus des Browsers wechseln.

--- Originally created on May 19th, 2010, at 06:15pm

[ghost]

Krass

 Jetzt verstehe ich endlich, warum man den Browser nach einem "Bankenbesuch" schließen soll...

--- Originally created by Anke on May 19th, 2010, at 06:32pm

[ghost]

Das stimmt leider. Daher liegt es wohl wirklich an den Browsern und die Sicherheit ist somit nicht gegeben. Aber dennoch, irgendeine Lösung muß da her. Denn es betrifft ja auch andere Systeme. Aber danke erstmal für die Aufklärung!

--- Originally created by Oden on May 19th, 2010, at 06:41pm

[leofeyer]

--- Originally closed on May 19th, 2010, at 12:21pm

[davorgit]

Ok

I can confirm that this works..
I have modified file FrontendTemplate.php at line 199 to 203 and replaced with this:

header('Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0');
header('Pragma: no-cache');
header('Last-Modified: ' . gmdate('D, d M Y H:i:s') . ' GMT');
header('Expires: Fri, 06 Jun 1975 15:10:00 GMT');

..I would suggest one extra condition like if FE user logged in than above header
..or maybe this header if I set no-caching in BE