htaccess logout

[Benny]

Hi,

ich habe einige Fragen.

1. Ich habe einen Bereich meiner Homepage mit htaccess geschützt.
   Wie kann ich es erreichen, dass der User nach verlassen dieses
   Bereiches nicht mehr ohne erneute eingabe des Passwortes in den
   Bereich kommt?

Ich weiß, dass er das Passwort nochmal neu eingeben muss, wenn er
   den Browser schließt, aber gibt es da nicht noch eine andere
   Möglichkeit?

2. Kann ich irgendwie rausbekommen, wer sich grad in dem geschützen
   Bereich aufhällt?

Benny

[mr. t]

ich weiss es auch nicht
*hehehe*

[Benny]

Sehr schön. Gibt es hier denn keinen, der mir evtl helfen könnte?? :-(

[Michael Schröpl]

Hi Benny,

1. Ich habe einen Bereich meiner Homepage mit htaccess geschützt.
      Wie kann ich es erreichen, dass der User nach verlassen dieses
      Bereiches nicht mehr ohne erneute eingabe des Passwortes in den
      Bereich kommt?

der Server müßte ihm eine erneute Aufforderung zur Identifikation
senden - das _sollte_ dazu führen, daß der Browser sein Wissen über
die erfolgreiche Authentifizierung innerhalb dieses Realms vergißt.

Allerdings könnte das dann dazu führen, daß der Browser ein neuer
login-Dialog mit dem Benutzer führt - das wäre dann nicht wirklich,
was Du erreichen willst.

Also: Ich fürchte, Dein Wunsch ist nicht erfüllbar.

Ich weiß, dass er das Passwort nochmal neu eingeben muss, wenn er
   den Browser schließt, aber gibt es da nicht noch eine andere
   Möglichkeit?

Wieso reicht Dir das nicht aus?
Was hast Du davon, wenn der Browser diese credentials nicht mehr weiß?

2. Kann ich irgendwie rausbekommen, wer sich grad in dem geschützen
      Bereich aufhällt?

Niemand "hält sich in dem geschützten Bereich auf". Vielleicht ist überhaupt das Dein Mißverständnis, und Frage 1 wird damit überflüssig?
Du kannst lediglich bei jedem einzelnen Zugriff feststellen, ob er
eine innerhalb des geschützten Bereichs liegende Ressource anfordert.
Wenn jemand nichts anfordert, dann weißt Du aber nicht, wozu er befugt
wäre oder auch nicht.

Server Authentication ist kein Session-Protokoll.
Jeder einzelne Zugriff erfordert eine Authentifizierung des Client!
Das merkst Du nur nicht, weil der Browser sich Benutzerkennung und
Kennwort nach der ersten erfolgreichen Authentifizierung merkt - bis
zum Ende der Browser-Session.

Der Benutzer "logt sich auch gar nicht ein", sondern sein Browser macht bei jedem Zugriff dasselbe: Er sendet einen Authentifizierungs-Header mit. Nur beim ersten Zugriff tut er das nicht, weil er nicht weiß, daß das erforderlich ist - aber der Server macht ihn in seiner ersten Antwort darauf aufmerksam.

HTTP-Zugriffe sind voneinander unabhängig. Du weißt insbesondere nicht,
ob noch einer folgen wird oder nicht; der Client könnte seinen Rechner
auch abgeschaltet oder verkauft haben - Du würdest das nicht merken.
Deshalb kann es auch kein "logout-Konzept" geben.

Viele Grüße
      Michael

[Benny]

Viele Grüße
      Michael

Danke, das hilft mir doch schon weiter. Dann habe ich da wohl bezüglich  htaccess was falsch verstanden, oder es wurde mir falsch erklärt :-)