[PHP] Page has expired

[g4wx3]

Op één of andere manier wil ik elke pagina-request willen voorzien van een $_POST waarde, om te voorkomen dat je via de back-button van de browser gevoeilige informatie kunt zien.
In het geval dat de tijd is voorlopen of je uitlogt krijg je "page has expired" (of 'pagina is verlopen')

Hoe krijg ik dat voor elkaar (met gewone links)

[ Voor 7% gewijzigd door g4wx3 op 02-08-2008 08:01 ]

[Verwijderd]

Er is geen enkele garantie dat dit kan. Een user agent kan bepalen om toch gewoon pagina's te cachen. Een proxy kan ook ongewild cachen. Je kunt hooguit met de juiste HTTP headers aangeven dat je niet wilt dat pagina's in de cache komen. Of de user agent zich daaraan wil houden is aan de user agent.

Waarom je met "een $_POST waarde" aankomt weet ik niet.

[r0bert]

Je kunt je $_POST waardes ergens in de $_SESSION variable wegzetten en in het formulier deze uitlezen. Niet heel mooi, maar werkt wel.

[frickY]

Laat pagina1 submitten naar paginas1 zelf, verwerk daarbinnen de gegevens, en dwing met een 301 status en location header een GET-request naar pagina2 af. Voeg daar wat no-cache en private headers aan toe en het gros van de standaard browsers zal doen wat je wilt.

Het niet cachen van een pagina kun je echter hard afdwingen, elke cient bepaald zelf wat er gebeurd met opgevraagde pagina's.
Wellicht dat een vorm van AJAX interessanter ivoor je is om content op te halen en te submitten. De Back-button heeft daar geen invloed op.

[TeeDee]

via de back-button van de browser gevoeilige informatie

Zorg er dan maar eerst eens voor dat er geen mogelijkheid is om gevoelige informatie te tonen.

[Cartman!]

Ik ben wel benieuwd om wat voor soort informatie het gaat ook. Als iemand ingelogd is oid dan controleer je toch bij elke pagina of ie wel ingelogd is, als dat zo is dan mag ie t gewoon zien...hij heeft die info toch zelf ingevuld? Ik vind het zelf altijd enorm irritant als een website voor mij bepaalt of ik mn backbutton wel of niet mag gebruiken...

[g4wx3]

Ik kreeg het idee om $_POST informatie te gebruiken, omdat ie, en fx (samen 90%oid) de opgehaalde pagina niet laten zien (ie) of vragen om opniew gegevens te verzenden (fx) bij een post-request.

Het is een simpel inlog formuliertje. Als je inlogt dan zet ik dat in de $_SESSION. Als je uilogt word de sessie unset en destroyed. Uiteraard kun je je eigen gegevens zien&bewerken.
Gevoelige gegevens: naam voornaam email ...

Het is een vaak voorkomend probleem:
Kijk bijvoorbeeld op got naar je profiel.
Zonder iets te submitten log je gewoon uit nu.
Als je dan in je browser history naar deze pagina gaat, kun je weer jouw persoonlijke informatie zien, zoals bijvoorbeeld jouw email adress, dat normaal verborgen is.

Het voorbeeld is wat ver gezocht, maar het is wel duidelijk hiermee.
Blijkbaar is de enige veilige oplossing https (zoals hotmail.com).

Effe doen alsof je veilig bent bij het uitloggen is een groot risico.
Ik heb een nick op dit forum omdat ik anoniem wil blijven. Op deze manier kan iemand meteen achterhalen wie er achter deze nick schuil gaat. Stel dat ik dan posts heb gemaakt ijdens werkuren kan dat ernstige gevolgen hebben.

Het is maar een voorbeeld, want ik ben nog student, en heb geen ernstige posts geplaats.

ik wil de backbutton niet blokken, ik wil dat hij niet cashed.
Een oplossing zou zijn om de browser te sluiten met javascript.

[ Voor 6% gewijzigd door g4wx3 op 02-08-2008 12:44 ]

[Gerco]

Je kan je pagina's ook via https serveren, dan heb je geen last meer van caching en houden alle browsers zich daar netjes aan. Daarnaast kunnen je gevoelige gegevens niet meer gesniffed worden, win win, lijkt me.

[NMe]

Cartman! schreef op zaterdag 02 augustus 2008 @ 12:21:
Ik ben wel benieuwd om wat voor soort informatie het gaat ook. Als iemand ingelogd is oid dan controleer je toch bij elke pagina of ie wel ingelogd is, als dat zo is dan mag ie t gewoon zien...hij heeft die info toch zelf ingevuld? Ik vind het zelf altijd enorm irritant als een website voor mij bepaalt of ik mn backbutton wel of niet mag gebruiken...

Wat ^^ zegt. Bovendien gaan mensen niet begrijpen waarom ze nog eens gegevens moeten versturen. Ze hebben immers in de eerste instantie bij hun weten niets verstuurd. Het zou me niets verbazen als je bezoeker denkt dat je site een virus bevat dat data van hun pc steelt en verstuurt naar jou en daarom je stie maar afsluit.

Ik zou persoonlijk niet vertrouwen op gekke truukjes om je site "veiliger" te maken. Een bezoeker die zó paranoïde is dat hij niet wil dat mensen via de backbutton zien wat hij gedaan heeft op een pc sluit sowieso de browser af als hij klaar is, en kan zijn history en cache even legen.