Ako vymazat session subor po nekorektnom odlogovani ?

Dajme tomu ze mam klasicku autentizaciu uzivatela cez session, ktore pouziva defaultny save handler (session subory ktore PHP interne vytvara na serveri).

Na restricted stranke mam klasicky logout button, ktory korektne riesi odstranenie session - vycistenie $_SESSION, odstranenie session suboru a invalidacia cookie.

Problem nastane, ak sa uzivatel odloguje inym sposobom - napr. vycisti si cookies manualne, alebo vymaze historiu browsera. V tomto pripade sa teda kod pre odstranenie session nevykona a pri dalsom nacitani stranky je uzivatel presmerovany na login. Uzivatel ma pocit ze je odhlaseny, v skutocnosi ale session subor s poslednym ID na serveri existuje. Ak teda podsuniem browseru cookie s povodnym ID, ziskam opatovny pristup do poslednej session. Jasne, je mozne kontrolovat na serveri idle time tohto ID a po vyprsani session subor na serveri vymazat, ale ako to urobit este predtym nez cas neaktivity vyprsi ?

Ide mi proste o tu slepu dobu - uzivatel sa nekorektne odloguje => session subor ostava na serveri (session je teda mozne obnovit) => session subor sa vymaze az po urcitom idle case => teraz uz session nie je mozne obnovit podstrcenim posledneho ID.

Alphard:
„Spíš se zabývejte tím, jak by někdo ukradl cookie. Jestli nepoužíváte ssl a data nešifrovaně putují po síti, lze vidět nejen cookies, ale i přihlašovací údaje, takže tam by v případě kritické aplikace bylo v první řadě vhodné zapracovat na šifrování.“

No ale pokial cookie dorazi do browsera, tak tam nie je nijak chranene, alebo ano ?

Ak sa proste cookie nejakym sposobom odchyti z browsera, je mozne pouzit ID (v dobe pred expiraciou) a obnovit session aj ked ma uzivatel pocit ze sa odhlasil vymazanim historie(cookies).

Alphard:
„Když uživatel vymaže historii, už se do prohlížeče původní session identifikátor nedostane“

To je jasne, ale ja to pisem v tej suvislosti zneuzitia cookies.

Rozmyslam nad tym najma z hladiska UX.

Niektori uzivatelia mozu byt zvyknuti namiesto stlacenia logout na stranke vymazat historiu browsera:

Uzivatel po skonceni prace na webe vymaze historiu, refreshne stranku a vidi ze ho to presmerovalo na prihlasovaciu stranku.
V domnienke ze je odhlaseny, odide z PC.
V skutocnosti odhlaseny ale nie je, pretoze odoslanim cookie s povodnym ID (ktore sa priamo z browsera nejakym sposobom odchytilo) je mozne obnovit session celu dobu predtym nez vyprsi timeout kontrolovane na serveri a podla ktoreho sa maze session subor.

Asi nie je ina cesta nez to, aby Logout button bol jasny, viditelny, pristupny a hlavne, oboznamit uzivatelov s tym, ze jedina bezpecna cesta pre odhlasenie je iba cez toto tlacitko.