HTTP-AUTH logout

[Michael Schröpl]

Hi Andreas,

Wieso implementieren die Browser eigentlich keine Möglichkeit eines Logouts für HTTP-Auth?

warum fragst Du das hier im Forum und nicht die jeweiligen Hersteller?

Noch schöner wäre allerdings ein HTTP-HEader der den Browser dazu veranlassen würde,

Das wäre keineswegs schöner. Die Initiative für ein Logout liegt beim Client, nicht beim Server.
Server Authentication ist kein Session-Protokoll - wenn Du ein solches verwenden willst, dann tu es auch.

ist sowas geplant?

Warum fragst Du das hier im Forum und nicht die jeweiligen Hersteller?

Ich fänd das gut.

Ich nicht. Ich fände es gut, wenn die diversen Hersteller HTTP/1.1 unterstützen würden - davon sind sie _weit_ entfernt.

Das Problem mit HTTP-Auth ist nämlich, das viele der sog. Entscheidungsträger keine Ahnung haben,

Das ist kein Problem der HTTP-Auth, sondern eines unserer gesamten Gesellschaft.

aber wissen dass es gut ist wenn man sich aus einer Anwendung ausloggt, so dass wenn man
seinen Arbeitsplatz kurz verläßt nicht jeder Zugriff erlangen kann.

Dafür gibt es andere Mechanismen - beispielsweise die applikationsübergreifende Sperrung des gesamten Arbeitsplatzes.
Gerade _weil_ dieser Effekt in beliebig vielen Applikationen benötigt würde, macht es keinen Sinn, ihn in jeder dieser Applikationen einzubauen, wenn man es auch im Betriebssystem (GUI-Manager) tun kann.

Und diese Leute glauben man ist blöd wenn man sowas nicht kann

Dann kläre sie auf, daß es alle anderen auch nicht können.

Also suche ich nach einer Alternative, aber ich sehe da wenig Aussicht auf Erfolg.

Ich auch.

Eine Möglichkeit wäre ja, wenn man aus der Passwortdatei den User kurzfristig entfernt,

Grusel. _Dafür_ willst Du eine Schreib-Synchronisation bauen?

Und wann soll diese Synchronisation denn greifen?
Falls Du dazu einen Logout-Button in einer HTML-Seite verwenden willst, dann hast Du eine allerzweiundvierzigste Methode erfunden, Sessions zu emulieren.

Du versuchst gerade, mit einem Schraubenzieher einen Nagel in die Wand zu schlagen.

Was haltet Ihr davon? Wie würdet Ihr das machen?

Verwende eine bereits existierende Session-Implementierung Deiner Wahl.
HTTP-Authentication ist ohnehin nicht das, was Du haben willst - denn es liefert Dir nicht nur kein Logout, sondern vor allem auch gar kein (gegenseitig ausschließendes) Login!

Viele Grüße
      Michael