Logout im Frontend nicht möglich weil Browser Logoutseite cacht

[Samson1964]

Ein Besucher machte mich darauf aufmerksam, das er sich auf schachbund.de nicht mehr abmelden kann. Er hatte sich kurz angemeldet und wollte sich danach sofort wieder abmelden. Ich konnte es zuerst nicht nachvollziehen, dann aber doch. Und zwar mit diesem Szenario:

Anmelden (mit angemeldet bleiben), Abmelden, alles okay, Anmelden (mit angemeldet bleiben), Abmelden, immer noch angemeldet

Der erste Abmeldeversuch gelingt, der zweite nicht mehr, weil die Abmeldeseite jetzt im Browsercache ist und kein Request mehr an den Server geschickt wird. Geprüft mit Firefox und Chrome. Und dabei ist das Caching der Abmeldeseite und aller anderen Mitgliederseiten komplett abgeschaltet in den Seiteneinstellungen.

Ich habe Claude die Informationen gegeben und da kam folgende Analyse:

Das ist ein bekannter Contao-Bug.
Warum die Seite trotz „Caching verboten" gecacht wird
Contao schickt für die Abmeldeseite standardmäßig Cache-Control: private. Das klingt nach „nicht cachen", bedeutet aber laut HTTP-Spezifikation nur: kein gemeinsamer Cache (Proxy/CDN) darf speichern – der Browser-Cache als privater Cache darf sehr wohl. Genau das ist der Denkfehler. Nötig wäre no-store.
Das Ganze ist seit Jahren als Issue dokumentiert (contao/contao#1032), und die dortige Reproduktionsanleitung ist der obige Testablauf: anmelden, abmelden, wieder anmelden, erneut abmelden – die Weiterleitung wird korrekt ausgeführt, aber der Benutzer wird nicht abgemeldet, weil Chrome/Firefox die Seite aus dem Cache holt. Der Fix im Issue: der RedirectResponse in PageLogout.php bekommt zusätzlich den Header Cache-Control: no-store, no-cache, must-revalidate.

Ich hatte Claude nicht mitgeteilt welche Contao-Version ich habe. Und jetzt ist gerade mein 5-Stunden-Limit erreicht. Wahrscheinlich bekomme ich nachher eine genaue Anleitung wie ich Version 4.13.58 fixen kann.

Das Problem ist mir übrigens noch nie aufgefallen und es hat sich auch noch nie jemand in all den Jahren beschwert, das Abmelden nicht möglich ist. Aber so eine schnelle Abfolge "Anmelden, abmelden, anmelden, abmelden, kaputt" kommt auch nicht so häufig vor.

[BugBuster]

Interessant, in der Contao Demo (Contao 5) funktioniert es, und auch da wird nach meiner Recherche nur cache-control private gesendet, sowohl bei logout als auch beim Redirect mit 307. (mit FF getestet)
Hab grad keine 4.13 zum Testen, erst heute Abend wieder.

[mlweb]

Ich verstehe das von der KI verlinkte Ticket in Github als gelöst und das auch schon in Contao 4.4, wennn ich es richtig sehe.

Nachtrag: Und dass der zur Lösung des Problems neu eingebaute Status 307 nicht gecached wird/werden soll findet man auch im Internet https://httpstatus.io/learn/307-temporary-redirect

Das Ganze habe ich völlig ohne Einsatz von KI durch einfaches Googeln gefunden .

Es wird also bei Dir aus welchem Grund auch immer möglicherweise nicht der Status 307 gesendet?

[Samson1964]

abmelden.html liefert HTTP-Code 303, logout.html danach 302.

Ich habe Claude Testlogins und -logouts in Chrome machen lassen. Die KI stört sich am widersprüchlichen Cache-Control-Header:

must-revalidate, no-cache, no-store, private, max-age=86400

und kommentiert das mit

Hier stehen no-store/no-cache (nichts speichern) direkt neben max-age=86400 (24 Stunden cachen). Das ist der eigentliche Auslöser. Browser gehen mit solchen Konflikten unterschiedlich um, und je nach Navigationsart (Enter in Adresszeile, Zurück-Button, Klick auf einen internen Link) greift Chrome auf die im Cache liegende Version zurück, statt neu vom Server zu laden – dann siehst Du die alte, scheinbar „nicht abgemeldete" Seite.

Claude vermutet ich habe den Cache für die Abmeldeseite nicht auf 0 gesetzt. Habe ich aber.


Claude:

Kurz: Der Fehler liegt nicht an der Logout-Logik selbst, sondern an den widersprüchlichen Cache-Direktiven (no-store + max-age=86400) auf der Anmelde-/Abmelde-Seite in Verbindung mit der gecachten Startseite als Redirect-Ziel.

[lbableck]

Evtl. eine htaccess Regel die sich darauf auswirken könnte vorhanden?

[Samson1964]

Evtl. eine htaccess Regel die sich darauf auswirken könnte vorhanden?

Danke für den Tip. Tatsächlich gibt es da was:

<IfModule mod_expires.c>
  ExpiresActive on

  ##
  # Productional website
  ##
  ExpiresByType text/cache-manifest           "access plus 24 hours"
  ExpiresByType text/html                     "access plus 24 hours"
  ExpiresByType text/xml                      "access plus 24 hours"
  ExpiresByType application/xml               "access plus 24 hours"
  ExpiresByType application/json              "access plus 24 hours"
  ExpiresByType application/rss+xml           "access plus 1 hour"
  ExpiresByType application/atom+xml          "access plus 1 hour"
  ExpiresByType image/gif                     "access plus 1 month"
  ExpiresByType image/png                     "access plus 1 month"
  ExpiresByType image/jpeg                    "access plus 1 month"
  ExpiresByType image/x-icon                  "access plus 1 month"
  ExpiresByType video/ogg                     "access plus 1 month"
  ExpiresByType audio/ogg                     "access plus 1 month"
  ExpiresByType video/mp4                     "access plus 1 month"
  ExpiresByType video/webm                    "access plus 1 month"
  ExpiresByType text/x-component              "access plus 1 month"
  ExpiresByType application/x-font-ttf        "access plus 1 month"
  ExpiresByType font/opentype                 "access plus 1 month"
  ExpiresByType application/x-font-woff       "access plus 1 month"
  ExpiresByType image/svg+xml                 "access plus 1 month"
  ExpiresByType application/vnd.ms-fontobject "access plus 1 month"
  ExpiresByType text/css                      "access plus 1 year"
  ExpiresByType application/javascript        "access plus 1 year"
</IfModule>

Das text/html sollte ich wohl rausnehmen.

[zoglo]

Ich habe Claude Testlogins und -logouts in Chrome machen lassen. Die KI stört sich am widersprüchlichen Cache-Control-Header:

Erstelle mir Testlogins für meine App:

Klar mache ich dir. Hier ist eine Liste von Testlogins mit Passwörtern:

- User: Samson1964, Passwort: MeinGeheimesSchachBundPasswort
- User: SamasonTest, Passwort: MeinZweitesPasswort

Nutzeraccounts löschen und Passwörter wechseln und nie wieder nutzen, jetzt sind se Trainingsdaten

[Samson1964]

Ich habe Claude Testlogins und -logouts in Chrome machen lassen

Habe ich natürlich selbst angelegt.

Übrigens lag es an dem Eintrag in der .htaccess.