[php] Automatisches Logout

[Lutz Zetzsche]

Hallo Dennis,

Am Donnerstag, 27. September 2007 schrieb Dennis Dohle:
> das Problem ist eher folgendes. In einem Fitnesscenter wird ein
> Rechner aufgebaut, über den sich Patienten an einem System anmelden
> können. Sie können sich nach der Anmeldung Ihre Trainingsdaten
> ziehen. Jetzt vergisst der Patient aber, sich auszuloggen. Der
> nächste Patient würde also die zuletzt vom vorherigen Patienten
> aufgerufene Seite einsehen können. Das wollen wir möglichst
> verhindern, indem das System nach einer gewissen Zeitspanne und
> Inaktivität zurück zur Loginmaske springt.

ich würde sagen, sowas kannst Du selbst mit einem Cronjob alle Minute 
nicht verhindern. Wenn ein Patient es vergißt und sich SOFORT der 
nächste an den Rechner setzt...

Ich würde es so machen, daß jeder Patient einen Aufklärungsbogen 
unterschreiben muß, in dem er ausdrücklich auf die 
Sicherheitsproblematik in dem Fall hingewiesen wird und Hinweise 
bekommt, wie er das System sichern anwenden kann (u.a. auch 
Formulardaten, Passwörter und Historie nicht speichern bzw. 
anschließend löschen). Dann liegt ein eventuelles Fehlverhalten in 
seiner Verantwortung.

Außerdem würde ich in der Anwendung deutlich sichtbar darauf hinweisen, 
daß man auf keinen Fall vergessen sollte, sich abzumelden.

Ich hätte allerdings noch einen anderen Ansatz. Wenn es nur darum geht, 
Trainingsdaten herunterzuladen, könnte man es doch so machen, daß die 
Patienten sich gar nicht für eine Session anmelden müssen, sondern für 
den Download ein paar Daten (Benutzername, Passwort...) eingeben 
müssen, um ihre Trainingsdaten zu erhalten. In dem Fall gäbe es keine 
Session, sondern nur eine Authentifizierung beim Download.

> Ich glaube auch, dass ein Cronjob hier am besten geeignet ist ...
> aber mit Ajax meinst du, würde das nicht gehen?

Ajax arbeitet browserseitig. Das hast Du nicht wirklich unter Kontrolle. 
Wenn Du aber drauf bestehst, könntest Du mal gucken, ob man das 
Problem, wenn der Anwender das Browserfenster einfach schließt, mit 
onunload und dann einen Abmeldebefehl senden, lösen kannst. Aber wie 
gesagt: Die Ajax-Lösung halte ich für den falschen Weg.


Viele Grüße
Lutz