如何注销用户从网站使用基本身份验证?

是否有可能注销用户从一个网站，如果他是使用基本身份验证?

杀死会话是不够的，因为一旦用户通过身份验证，每个请求都包含登录信息，因此用户下次使用相同的凭据访问站点时将自动登录。

目前唯一的解决方案是关闭浏览器，但从可用性的角度来看，这是不可接受的。

当前回答

以下功能在Firefox 40、Chrome 44、Opera 31和IE 11上均已确认有效。 Bowser用于浏览器检测，也使用jQuery。 —“secUrl”为密码保护区域的url，用户可以从该url退出。 —“redirUrl”为非密码保护区域的url(注销成功页面)。你可能想增加重定向计时器(目前是200ms)。

2015-09-01 07:24:57

其他回答

使用会话ID (cookie) 使服务器上的会话ID失效不接受会话id无效的用户

2008-10-24 13:24:46

让用户点击指向https://log:out@example.com/的链接。这将用无效的凭证覆盖现有的凭证;注销它们。

这是通过在URL中发送新的凭证来实现的。在本例中，user="log" password="out"。

2013-10-08 21:28:29

所有你需要的是重定向用户注销URL和返回401未经授权的错误。在错误页面(必须在没有基本身份验证的情况下访问)上，您需要提供到主页的完整链接(包括方案和主机名)。用户将点击此链接，浏览器将再次要求凭据。

Nginx的示例:

location /logout {
    return 401;
}

error_page 401 /errors/401.html;

location /errors {
    auth_basic off;
    ssi        on;
    ssi_types  text/html;
    alias /home/user/errors;
}

错误页面/home/user/errors/401.html:

<!DOCTYPE html>
<p>You're not authorised. <a href="<!--# echo var="scheme" -->://<!--# echo var="host" -->/">Login</a>.</p>

2015-12-12 14:12:34

添加到你的应用程序:

@app.route('/logout')
def logout():
    return ('Logout', 401, {'WWW-Authenticate': 'Basic realm="Login required"'})

2015-09-18 13:29:40

这在基本身份验证中是不可能直接实现的。

在HTTP规范中，服务器没有机制告诉浏览器停止发送用户已经提供的凭据。

有一些“黑客”(参见其他答案)通常涉及使用XMLHttpRequest发送带有错误凭据的HTTP请求，以覆盖最初提供的凭据。

2008-10-24 13:30:40

如何注销用户从网站使用基本身份验证?

推荐文章

最新文章

标签