Browser-Authentifizierung per Server-Header "expiren"

[Herbert Maier]

Hallo Leute!

Ich stehe schon länger vor diesem Problem:
Ich kann mich als User per Httpd_auth authentifizieren, aber ueber den Browser kann ich die "Session" nicht "expiren" lassen. Ich will bloss, dass ich per Knopfdruck aus einem CGI-Skript die Session beende. Da scheint es nichts zu geben. Ich muss immer erst den Browser schliessen und wieder erneut oeffnen.

Ich habs schon so probiert:

print $cgi->header('-status'=>401);

Oder auch, indem ich per Hand den gesamten Server-Header mit HTTP/1.1 401, etc. rausgeschickt habe, aber nix da.

Irgendeine Idee??? Bitte!!

Danke & Gruß,
   Herbie

[Michael Schröpl]

Hi Herbert,

Ich kann mich als User per Httpd_auth authentifizieren, aber ueber den Browser kann ich die "Session" nicht "expiren" lassen.

Du bist Dir bewußt, daß Server Authentication gar keine "Session" ist?
(Mehrfach-Login unter derselben Benutzerkennung ist möglich.)

Viele Grüße
      Michael

[Henryk Plötz]

Moin,

Ich stehe schon länger vor diesem Problem:
Ich kann mich als User per Httpd_auth authentifizieren, aber ueber den Browser kann ich die "Session" nicht "expiren" lassen. Ich will bloss, dass ich per Knopfdruck aus einem CGI-Skript die Session beende.

Das ist dann ein Bug des Browsers. Genauso wie es eine Funktion des Browser ist, die Authentifizierungsdaten für weitere Requests zwischenzuspeichern, sollte es auch eine Funktion des Browsers sein diese auf Benutzerwunsch wieder zu vergessen. HTTP kennt keine Möglichkeit ihn dazu aufzufordern, da es ja bereits das Speichern nicht fordert.

Wende dich mit deiner Anfrage an die Entwickler deines Browsers oder besorge dir seinen Quellcode und implementiere das selber.

PS: Ja, es kann sein, dass es unter bestimmten Umständen vielleicht die Möglichkeit gibt, dass es eventuell funktionieren könnte, dem Browser einen 401-Status mit dem benutzten Challenge zu senden und er sich womöglich entschliessen könnte, dann die Daten zu vergessen. Das ist aber in HTTP nicht vorgeschrieben, ja nicht einmal angedeutet, und funktioniert demnach potentiell nur bei einem Bruchteil aller Browser, und selbst da nicht vollständig deterministisch.

[Michael Schröpl]

Hi Henryk,

Das ist dann ein Bug des Browsers.

ich würde es eher ein "missing feature" nennen.
(http://httpd.apache.org/docs/howto/auth.html#logout)

Viele Grüße
      Michael