php session_destroy浏览器记住用户名和密码

Question

我正在使用 php 身份验证方法进行摘要身份验证，如 php 手册。除了注销部分之外，一切都运行良好。

我正在使用 session_destroy() 尝试注销我的用户，它确实做到了。但是我的问题是，如果用户在关闭浏览器之前重新登录，则不会提示他们输入用户名和密码，并且会使用上次输入的用户名和密码自动登录。

浏览器似乎以某种方式记住了凭据。在 Firefox 中，如果我在尝试重新登录之前手动清除“清除浏览历史记录”中的“活动登录”，则会提示我输入用户名和密码，即使用户已使用 session_destroy()。

我还使用 php 手册中的示例 来清除 cookie，但是这似乎没有帮助，这似乎不是一个cookie问题。

这是我的 logout.php 代码

<?php
session_start();
$_SESSION = array();
//destroy cookie if it exists
if (ini_get("session.use_cookies")) {
    $params = session_get_cookie_params();
    setcookie(session_name(), '', time() - 42000,
        $params["path"], $params["domain"],
        $params["secure"], $params["httponly"]
    );
}
//destroy session
session_destroy();
header("location:form.php");
exit();
?>

我缺少什么？感谢您的帮助！

Answer 1

HTTP 身份验证的工作方式与会话身份验证略有不同。
清除 http Auth 会话的唯一方法是更改​​领域名称。
检查 http://www.php.net/manual/en/ features.http-auth.php#100396（评论#100396）这是我发现的地方。

顺便说一句：使用会话进行身份验证要容易得多，您有更多的可能性来存储用户信息等。因此，如果没有特定的原因使用 httpAuth，您可能会更好地使用会话。

Answer 2

会话销毁不会删除会话中存储的项目。
您可以手动取消它们：

function destroySession(){
    foreach($_SESSION as $k => $v)
        unset($_SESSION[$k]); 
    session_destroy();
}  

Answer 3

你说当他们推回时，他们会再次登录。您确定当他们通过重新发送登录表单进行拒绝时实际上并没有再次登录吗？在登录功能的最后，尝试执行以下操作：

header("location: ".$_SERVER['REQUEST_URI']);

或调整为登录时需要访问的任何 URI。这将防止用户通过按后退按钮重新提交表单。