In news:<42e817d3$0$18645$14726298@news.sunsite.dk>
Erik Ginnerskov typed:
> Johnny Winther Ronnenberg wrote:
>
>> Og så skal man ikke pille ved brugerens tilbage knap med mindre man
>> vil have bøllebank, med en lunken spegesild ;-(
>
> Hvis det sker i forbindelse med noget login (det står der godt nok
> ikke noget om i spørgsmålet), er det vel rimelige at prøve at hindre
> utilsigtet reload fra cache af beskyttede sider efter logout.
Jeg kan kun se berettigelsen et sted, nemlig hvor man laver en økonomisk
transakrion, f.eks ved betaling med dankort og der vil det være både
betænkeligt og risikofyldt, at brugeren kan gå tilbage med mindre
transaktionen først afsluttes på næstfølgende side med brugerens
godkendelse.
Efter min mening skal brugeren til enhver tid have retten til at
fortryde et valg, ellers skal der være en forbandet god grund til det.
En login der fejler, bør sende en tilbage til login og ikke udelukke en
fra at gå tilbage. Der er minimale sikkerheds problemer i, at lade
brugeren forsøge at ændre sit pasword igen og de kan løses med en
sessionsvariabel der tæller antallet af forsøg og til sidst sendes
vedkommende af helvede til.
Alle sider der befinder sig i et beskyttet område skal checke, om der er
et gyldigt login ellers er login værdiløst. Google er ligeglad, er der
et link finder den siden og hvis siden ikke beskytter sig selv og sine
søskende er der ingen grund til at forlange login.
Mange intranet er pivåbne, fordi man fejlagtig antager at blot
indgangsiden er beskyttet, så er alle sider det.
Jeg har mødt en, der fik jordens største skideballe fordi han troede, at
ingen kunne komme ind på direktionens lukkede del af intranettet,
desværre var der et medlem af direktionen, der sendte et link til en
menig medarbejder, der udnyttede lejligheden til at kigge sig omkring og
som kom til at sladre til kollegerne. Siden var ikke beskyttet og man
kunne derfor navigere frit i den lukkede del af intranettet, når man var
forbi startsiden
Man kan også spørge sig selv, hvorfor er det så vigtigt at folk ikke kan
se ens sider? Og hvad sker der hvis der er blot en lille fejl
loginscriptet?
Med venlig hilsen
Johnny Winther Ronnenberg
--
Internettet er for alle!
http://80.62.61.212/webuseability/index.asp