brak mechanizmu wylogowania

Brak mechanizmu wylogowania to usterka interfejsu pozbawionego funkcji bezpiecznego zakończenia sesji użytkownika.

Na czym polega brak mechanizmu wylogowania

Brak mechanizmu wylogowania oznacza, że interfejs aplikacji nie udostępnia funkcji bezpiecznego zakończenia aktywnej sesji użytkownika. Po zalogowaniu przeglądarka zwykle przechowuje identyfikator sesji w ciasteczku, a serwer wykorzystuje go do rozpoznawania kolejnych żądań. Jeżeli użytkownik może jedynie zamknąć kartę albo okno przeglądarki, nie oznacza to jeszcze, że sesja została unieważniona. Identyfikator może pozostać ważny, a ponowne otwarcie aplikacji może nadal prowadzić do widoku konta bez konieczności podawania hasła.

Wylogowanie powinno być odrębną operacją aplikacyjną. Po jej wykonaniu serwer powinien przestać akceptować bieżący identyfikator sesji, a przeglądarka powinna usunąć lub wygasić powiązane dane uwierzytelniające. Samo ukrycie przycisku, przejście na stronę główną albo wyczyszczenie elementów interfejsu nie jest równoważne z zakończeniem sesji. Usterka może więc dotyczyć zarówno brakującego elementu graficznego, jak i niepełnej obsługi po stronie serwera.

Skutki pozostawienia aktywnej sesji

Aktywna sesja pozostawiona na współdzielonym laptopie lub komputerze może umożliwić innej osobie dostęp do funkcji dostępnych po zalogowaniu. Zakres skutków zależy od aplikacji: może obejmować odczyt ustawień profilu, zmianę danych konfiguracyjnych, przeglądanie zapisanych dokumentów albo wykonywanie operacji dostępnych dla danego konta. Ryzyko występuje szczególnie wtedy, gdy użytkownik korzysta z komputera rodzinnego, stanowiska biurowego, urządzenia serwisowego lub przeglądarki, do której dostęp ma więcej osób.

Problem może być niewidoczny podczas zwykłego korzystania z aplikacji. Użytkownik może zamknąć stronę, uruchomić inną aplikację albo wyłączyć monitor, podczas gdy sesja nadal jest ważna po stronie serwera. Również usunięcie historii przeglądania nie musi unieważnić sesji, ponieważ historia i dane uwierzytelniające są przechowywane jako różne elementy. W przypadku aplikacji działającej w wielu kartach jedna karta może nadal wykonywać żądania z wykorzystaniem tego samego identyfikatora.

Jak rozpoznać problem w działaniu aplikacji

Podstawowe sprawdzenie polega na zalogowaniu się, odszukaniu wszystkich dostępnych poleceń konta i ocenie, czy istnieje jednoznaczna funkcja „Wyloguj” albo równoważna. Po jej użyciu nie powinno być możliwe otwarcie chronionej podstrony przez zwykłe odświeżenie ani przez użycie przycisku wstecz bez ponownego uwierzytelnienia. Należy również sprawdzić, czy otwarta wcześniej karta nie odzyskuje dostępu po przejściu do aplikacji.

W narzędziach deweloperskich przeglądarki można obserwować żądania wysyłane podczas logowania i wylogowania. Prawidłowa implementacja powinna powodować żądanie do punktu obsługującego zakończenie sesji albo równoważną zmianę stanu uwierzytelnienia. Warto zweryfikować, czy po tej operacji identyfikator sesji jest usuwany lub zastępowany oraz czy serwer odrzuca dalsze żądania wykonane ze starymi danymi. Sam fakt przekierowania na stronę logowania nie przesądza o poprawności, ponieważ przekierowanie może być wyłącznie zmianą widoku.

Podobne objawy mogą wynikać z błędów pamięci podręcznej, nieprawidłowego odświeżania widoku albo automatycznego logowania, dlatego test należy powtórzyć w nowej karcie i po pełnym ponownym uruchomieniu przeglądarki. Jeżeli aplikacja korzysta z kilku poziomów dostępu, trzeba sprawdzić także adresy podstron wymagających autoryzacji. Istotne jest rozróżnienie między wyświetleniem kopii strony zapisanej lokalnie a rzeczywistym zaakceptowaniem aktywnej sesji przez serwer.

Naprawa obsługi sesji na laptopie lub komputerze PC

Usunięcie usterki wymaga ustalenia, gdzie przechowywany jest stan logowania i który komponent odpowiada za jego unieważnienie. W aplikacji internetowej należy połączyć element interfejsu z działaniem serwera, które niszczy lub unieważnia sesję. Po stronie przeglądarki trzeba poprawnie obsłużyć usunięcie ciasteczka albo tokenu, natomiast po stronie serwera konieczne jest odrzucanie identyfikatora, który został wycofany. Należy też sprawdzić przekierowanie po wylogowaniu, zachowanie wielu kart oraz możliwość użycia przycisku wstecz.

Diagnostyka na laptopie lub komputerze PC może obejmować sprawdzenie ustawień przeglądarki, rozszerzeń blokujących skrypty, błędów JavaScript oraz komunikacji aplikacji z serwerem. Jeżeli funkcja wylogowania jest obecna, ale nie działa, przyczyną może być błąd routingu, nieobsłużona odpowiedź serwera, wygasłe żądanie albo rozbieżność między adresem aplikacji a adresem usługi uwierzytelniającej. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w przypadku takiej usterki można sprawdzić działanie aplikacji, przeglądarki oraz konfiguracji urządzenia.

Po naprawie należy ponownie wykonać test w kilku scenariuszach: po zwykłym wylogowaniu, po zamknięciu karty, po ponownym uruchomieniu przeglądarki oraz po wejściu bezpośrednio na wcześniej chroniony adres. Wynik jest prawidłowy wtedy, gdy aplikacja nie przywraca dostępu bez ponownego logowania, a pozostałe karty nie mogą korzystać z unieważnionej sesji. Taki test pozwala odróżnić poprawne zakończenie uwierzytelnienia od samego usunięcia widoku konta.