Utloggning [PHP]

alltså inloggningen ska ju ske vid det tillfället då du har user och password i post, och det stämmer, och att du inte redan är inloggad, inte vid något annat tillfälle. Då sätter du ju info i sessionen också, och ser till att databasen fattar att du är inloggad. När utloggningen är gjord, t.ex. när du går till logout.php så tar du ju bort just de inloggningsspecfika raderna, i mina projekt så kör jag unset på session s_id och session s_uname, samt att jag berättar för databasen att jag inte längre är inloggad.

På det sättet kan jag inte se att något kan gå fel.

Kan tillägga att jag alltid kör die() efter jag skickar headers ifall nån skum typ använder en webbläsare som inte accepterar modifierade headers. Men jag kanske bara är dum och/eller paranoid..

alltså, vid utloggningen så ska du ju ha sönder allt det du skapar när man loggar in.

Är du säker på att du inte blir utloggad?

Alltså, så att du inte går i den vanliga "back-fällan" (jag döpte den nu), alltså att du loggar ut, sedan trycker du "back" i webbläsaren, för då kommer du ju tillbaka till en cachad sida, där det ser ut som du fortfarande är inloggad, men du kan inte göra något, eftersom du faktiskt inte är inloggad.

Jag antar du kör med HTTP AUTH och ingen egen inloggningsmekanism, dvs du använder dig av rutan som din webbläsare skickar upp? Vad jag vet så finns det ingen utloggningsmetod för det, men vet att det går att lösa iaf, du kan ju t.ex. titta på hur phpMyAdmin har gjort det.

Du har dock vissa andra fel i din kod som kan ställa till det för dig.

Antar du försöker sätta $_SESSION['uID'] till ingenting här, använd = istället för == , använder du == så tittar du bara om uID redan är noll, = använder du när du ska ge den ett nytt värde.

$_SESSION["uid"] == "";

samma sak med...

$_SERVER["PHP_AUTH_USER"] == "";
$_SERVER["PHP_AUTH_PW"] == "";

Men du kan ju även använda dig av unset också så slipper du skriva värdet till ingenting.

unset($_SESSION['uID']);

Det är lite svårt att veta om det ska fungera, det beror ju på hur du avgör om en användare är inloggad eller inte på dina andra sidor, spelar $_SESSION['uID'] en avgörande roll? Hur blir man inloggad på dina sidor?

rosenson hittade ju i alla fall ett fel där, kul att jag missade det, det ska alltså inte vara dubbla "=", för så sätter man som sagt inte ett värde.

Sedan är det sant det här med definitionen av "inloggad".
Vi säger att man räknas som inloggad om $_SESSION['id'] är större eller lika med noll. Om du sätter detta värde till noll och kör en header replace så är du ju utloggad om värdet blev ändrat. Om du fortfarande är "inloggad" så blev ju inte värdet förändrat, i så fall så har vi ju satt fingret på prbolemet, det är din tilldelning av värde på din session som inte fungerar som den ska.

Du får debugga lite å printa ut lite värden så att du ser statusen på dina variabler.

Jag brukar köra

unset($_SESSION['asdf'];
session_destroy();
header('Location: asdf.php');

i den ordningen.

du kan även prova med att sätta

$_SESSION = array();

istället för att köra med session_destroy(); Om du inte har annat sparat i $_SESSION - arrayen förståss...

Hur ber du om inloggningsinformationen från den som loggar in? Använder du dig av headers och skickar upp en ruta? (frågade förut, men inget svar).

Isåfall är ditt problem att webbläsaren skickar ju inloggningsuppgifterna varje gång, det hjälper inte att unsetta $_SERVER['PHP_AUTH_USER'] den sätts igen nästa gång sidan laddas vilket gör att besökaren loggas in igen (och $_SESSSION[uID] populeras igen med ett ID)

Ja, jag vet inte, men det jag kan råda dig till är att titta hur phpMyAdmin har gjort det, dom är de enda jag vet har en utloggningsfunktion med en sådan inloggning.

Jag är inte säker nu men jag har för mig att de sätter ett extra session värde, t.ex. $_SESSION['logged_out'] = true; eller liknande. Det kan du ju testa, vid utloggning, sätt ett extra värde, och sen får du göra om din if sats till att kanske se ut så här.

if (isset($_SERVER["PHP_AUTH_USER"]) && isset($_SERVER["PHP_AUTH_PW"]) && ( !isset($_SESSION['logged_out']) || !$_SESSION['logged_out'] ) ) {

Jag använder mig utav:

if (isset($_GET['logout'])){
  session_unset();
  session_destroy();
  header("Location: index.php");
  exit;
}

Funkar hur bra som helst, alla sessions försvinner.
Anropar det med index.php?logout bara, och har förstås session_start(); längst upp!

Nej, det är sant, om det endå bara är du som ska använda det så är ju en utloggning inte så nödvändig, kom även på att jag hade lite fel när jag sa att du skulle kolla på hur phpMyAdmin har löst det, dom har löst det, men inte fullständigt, när du loggar ut från phpMyAdmin så kan du inte logga in med samma användare igen direkt efter, så det är nackdel också.

Bra att alla skriver hur dom löser sina in och utloggningar när det inte är relevant...