ASP.NET MVC 3 中注销时清理浏览器缓存和 cookie 的问题

Question

我认为这是一个很常见的话题，但我无法解决我的问题。在使用 ASP.NET MVC 3 构建的应用程序中，我使用表单身份验证和输出缓存：

<authentication mode="Forms">
  <forms loginUrl="~/Account/LogOn" name=".CMS" protection="All" timeout="43200" cookieless="UseCookies"/>
</authentication>

<caching>
  <outputCacheSettings>
    <outputCacheProfiles>
      <add name="Dynamic" duration="3600" location="Client" varyByParam="id" />
    </outputCacheProfiles>
  </outputCacheSettings>
</caching>

我的 LogOff 操作如下所示：

public ActionResult LogOff()
{
    _formsService.SignOut();
    return RedirectToAction("Index", "Dynamic");
}

此操作使用简单的 SignOut 方法：

public void SignOut()
{                        
    FormsAuthentication.SignOut();

    HttpContext.Current.Session.Abandon();

    // clean auth cookie
    HttpCookie authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, string.Empty);
    authCookie.Expires = DateTime.Now.AddDays(-1);
    HttpContext.Current.Response.Cookies.Add(authCookie);

    // clean session cookie    
    HttpCookie sessionCookie = new HttpCookie("ASP.NET_SessionId", string.Empty);
    sessionCookie.Expires = DateTime.Now.AddDays(-1);
    HttpContext.Current.Response.Cookies.Add(sessionCookie);
}

< em>但是问题如下：

页面http://localhost/app/dynamic/page受到保护。在登录之前我无法进入此页面。登录后，我可以浏览该页面。注销后，再次进入该页面，不幸的是我仍然可以查看其内容。

当启用缓存并且我之前访问过此类页面时，如何防止注销后访问受保护的页面？我做错了什么？饼干应该用其他方式清洗吗？

问候

Answer 1

该页面仍被缓存。您需要添加以下响应标头：

cache-control : no-cache

这实际上并不会阻止缓存。
cache-control 响应标头的 no-cache 指令意味着浏览器

在未成功重新验证的情况下不得使用响应来满足后续请求
与源服务器。

如果您确实想要阻止缓存，请指定no-store指令。这告诉浏览器它

不得存储此响应或引发该响应的请求的任何部分。这
指令适用于非共享和共享缓存。在这种情况下“不得存储”
意味着缓存不得故意将信息存储在非易失性中
存储，并且必须尽最大努力尝试从易失性中删除信息
转发后尽快存储。

有关缓存控制的详细信息，请参阅 HTTP 1.1 规范及其指令。

Answer 2

看一下这篇文章 Asp.Net Mvc 无法注销 。我相信它应该提供注销和清除缓存所需的代码片段。

Answer 3

您无法从服务器清除浏览器缓存。

IMO 唯一正确的做法是使服务器端的 cookie 无效（即，即使有人知道该 cookie，他也不能再使用它），并且可以选择删除客户端上的 cookie。

在我看来，仅删除 cookie 是不够的。

Answer 4

您是否已验证浏览器实际上向页面 http://localhost/app/dynamic/page 发出请求（即使用Fiddler）？

如果页面是从浏览器的缓存提​​供的，您需要在该应用程序/动态/页面上设置缓存控制标头，以便浏览器被迫从服务器查询页面。

如果从服务器检索页面，则查看 cookie 是否仍然存在（您的 cookie 代码看起来没问题，但仍然可能有问题）或者服务器端缓存是否启动。