Dotaz: Jakou použít HTTP specifikaci pro přesměrovaní na login formulář?

[L.]

Dobrý večer, chtěla bych se zeptat, když není uživatel přihlášený a vloží adresu pro stránky které jsou určeny pouze pro přihlášené živatele, jak mám správně přesměrovat uživatele na stránky s přihlašovacím formulářem? zatím to mám takto

header('HTTP/1.1 200 OK');
header('Location: http://nejakytenweb/account/login/');

ale nevím zda to je dobře. Poradíte mi? L.

Odpovědi

[Jendа]

Správně by se mu mělo poslat 401 a on se ti autorizuje. Pokud prasíš přihlašování pomocí formulářů jako většina současných webů, tak bych poslal 302.

[L.]

A jak mám přihlásit uživatele, když ne pomocí formuláře?

[Kit]

Používá se i HTTP autentizace. Zejména v případech, kdy z nějakého důvodu nemohu nebo nechci použít žádný skriptovací jazyk.

[lertimir]

Ovšem HTTP autentizace neumožňuje jednoduchým způsobem logout. Což mi připadá použitelné jen pro nějakou kategoii webů.

[Jendа]

Máš blbej browser. Zahoď ho.

[lertimir]

Nejde o mne. Ale pokud na tom někdo postaví web, tak pro běžného uživatele jediné odlogování je zavření všech oken. Navíc běžný uživatel to ani neví. Takže zavře panel s webem a pak se diví, když za nějakou dobu se mu z kompu připojí třeba dítko a přímo vevnitř.

[DarkKnight]

a vite, ze se da odhlasit i jinak? sice ta autentifikace neni primarne urcena pro takove pouzivani, ale je nekolik zpusobu jak toho docilit

bud poslani 401 klientovi (kde by mel prohlizec otevrit prihlasovaci okno), nebo treba presmerovat na spatne:udaje@domena.tld

[Josef Kufner]

Tohle odhlašování nefunguje spolehlivě ve všech prohlížečích. V některých to odhlásí, v některých jen v tom okně, a někde vůbec. Nejlepší je HTTP autentikaci vůbec nepoužívat. Jediné, kdy se hodí je, když se nepoužívá prohlížeč, ale nějaký jiný program, který jen volá HTTP API.

[Filip Jirsák]

Který prohlížeč a přibližně od kdy umožňuje jedním tlačítkem (nebo srovnatelným způsobem) odhlášení z HTTP autentizace? Tohle (spolu s otřesnými přihlašovacími dialogy k témuž) považuju za nejhorší bezpečnostní bezpečnostní problém na současném webu, tak mne těší, že to nějaký prohlížeč konečně implementoval. A doufám, že má větší podíl na trhu než 1 %.

[Sten]

Pro dočasné přesměrování se používá HTTP kód 307 Temporary Redirect

[stanik89]

Hlavně bych jej, z hlediska bezpečnosti, přesměrovával na https

[Josef Kufner]

Nepřesměrovávej, pošli mu 403 a zobraz přihlašovací formulář přímo na té stránce. Výhodou je, že nebudeš muset řešit přesměrování zpět. Další příjemnou vlastností je, že klienti budou správně chápat, o co jde.