.htaccess -> cache löschen

[Steinbock]

Hallo,

ich habe nach Studium von SelfHtml (an dieser Stelle ein großes Lob für das Erstellen dieser Doku!!!) angefangen ne Homepage zu bastelt.
Ich hab per .htaccess auch schon einen mit Passwort geschützten Bereich gemacht. Das funktioniert auch soweit.
Allerdings kommt die Anforderung zur Passworteingabe nicht mehr, wenn ich den Link zum geschützten Bereich erneut anklicke. Das möchte ich aber gerne so haben.
Liegt da was im Cache? Wie kann ich das verhindern?
Muß ich noch eine Option in der .htaccess einstellen?

Für euren Rat wäre ich sehr dankbar!

Gruß
Steinbock

[Cheatah]

Hi,

Ich hab per .htaccess auch schon einen mit Passwort geschützten Bereich gemacht. Das funktioniert auch soweit.

Dir ist bewusst, dass der Mechanismus der HTTP-Authentication exakt gar nichts mit der verzeichnislokalen Konfigurationsdatei .htaccess zu tun hat?

Liegt da was im Cache?

Nein. Jedenfalls nicht in dem Cache, den Du meinst.

Wie kann ich das verhindern?

Verwende keine HTTP-Authentication.

Muß ich noch eine Option in der .htaccess einstellen?

Nein.

Für euren Rat wäre ich sehr dankbar!

Der HTTP-Authentication-Mechanismus funktioniert nur dann zufrieden stellend, wenn der Client die Authentifizierungsdaten _nicht_ bei jedem Request erneut vom User abverlangt. Sie werden für jede Realm über die gesamte Browsersitzung gespeichert. Es ist _kein_ Login-Mechanismus, daher gibt es auch keinen Logout.

Cheatah

[Steinbock]

Hallo Cheatah!

Vielen Dank für Deine Antwort.
Leider ist sie mir nicht ganz klar.
Was meinst Du mit "Verwende keine HTTP-Authentication."?
Wie kann ich das von mir beschriebene Verhalten erzeugen?

Gruß
Steinbock

[Cheatah]

Hi,

Was meinst Du mit "Verwende keine HTTP-Authentication."?

bei HTTP-Authentication ist es _gewollt_, dass der Client sich die Daten merkt. Willst Du dies nicht, willst Du keine HTTP-Authentication.

Wie kann ich das von mir beschriebene Verhalten erzeugen?

Indem Du Dir einen anderen Schutzmechanismus auswählst oder erzeugst.

Cheatah

[Der Martin]

Hi Cheatah,

Dir ist bewusst, dass der Mechanismus der HTTP-Authentication exakt gar nichts mit der verzeichnislokalen Konfigurationsdatei .htaccess zu tun hat?

bis auf die Tatsache, dass HTTP-AUTH in Ermangelung anderer Eingriffsmöglichkeiten/Rechte (httpd.conf) oft mit einer lokalen .htaccess konfiguriert wird.
Und die beinahe schon pawlowsche Assoziation ".htaccess==Zugriffsschutz" steckt bei _sehr_ vielen Leuten mit Halbwissen schon tief drin. Leider.

Nein. Jedenfalls nicht in dem Cache, den Du meinst.

;-)

Schönen Tag noch,
 Martin

[wahsaga]

hi,

Ich hab per .htaccess auch schon einen mit Passwort geschützten Bereich gemacht. Das funktioniert auch soweit.
Allerdings kommt die Anforderung zur Passworteingabe nicht mehr, wenn ich den Link zum geschützten Bereich erneut anklicke.

Der Browser merkt sich die Authentifizierungsdaten natürlich im Speicher, um beim nächsten Request einer Ressource aus dem gleichen Realm diese gleich unaufgefordert wieder mitsenden zu können.
Das ist auch gut so™ - denn sonst müsstest du bei einer Ressource, deren Darstellung die Anforderung weiterer geschützter Ressourcen auslöst, z.b. ein HTML-Dokument mit mehreren Bildern, für jede Ressource die Daten erneut eingeben. Das wäre ja höchst unkomfortabel.

Liegt da was im Cache?

Wie beschrieben, der Browser merkt sich die Daten "für die Dauer der Sitzung" - das ist idR. so lange, wie du die jeweilige Browser-Instanz geöffnet hast.

Wie kann ich das verhindern?

Eigentlich gar nicht - einen "Logout" sieht HTTP Auth nicht vor.

Es "funktioniert" teilweise, wenn man den Server veranlasst, auf einen Request hin erneut einen HTTP Status Code 401 Unauthorized zurückzugeben.
Gängige Browser verwerfen daraufhin die bisher benutzten Authentifizierungsdaten, und bringen erneut die Abfrage danach. Wenn du dort dann abbrichst, antwortet der Webserver idR. mit einem 403 Forbidden.

gruß,
wahsaga

[Steinbock]

Hallo wahsaga!
Danke für die Info. Jetzt hab ich das verstanden.

Es "funktioniert" teilweise, wenn man den Server veranlasst, auf einen Request hin erneut einen HTTP Status Code 401 Unauthorized zurückzugeben.
Gängige Browser verwerfen daraufhin die bisher benutzten Authentifizierungsdaten, und bringen erneut die Abfrage danach. Wenn du dort dann abbrichst, antwortet der Webserver idR. mit einem 403 Forbidden.

->Frage:
Wie mache ich das?

[XaraX]

Hallo Steinbock,

Wie mache ich das?

dazu brachst Du ein Modul des Webservers, der den HTTP-Statuscode abändern kann, den Authentication-Mechanismus herstellt und Authorization-Request-Header validiert.

gängige Scriptsprachenmodule wären:
mod_perl,
mod_php und
mod_python

Gruß aus Berlin!
eddi

[Ashura]

Hallo Steinbock.

Allerdings kommt die Anforderung zur Passworteingabe nicht mehr, wenn ich den Link zum geschützten Bereich erneut anklicke. Das möchte ich aber gerne so haben.
Liegt da was im Cache? Wie kann ich das verhindern?

Die Web Developer Toolbar der Geckos bietet eine solche Möglichkeit.
([Miscellaneous] (Ich hasse dieses Wort) → [Clear Private Data] → [Clear HTTP Authentication])

Einen schönen Dienstag noch.

Gruß, Ashura