Discussion :

[Ishida]

Bonjour,

J'ai sur mon site un répertoire protégé, et il faut être identifié pour accéder aux pages de ce répertoire.

J'utilise une authentification par formulaire, et la méthode RedirectFromLoginPage(), avec le mode utilisant lescookies.

Aucun problème pour la première authentification.

Pour se déconnecter, j'utilise la méthode Session.Abandon();

La session est bien abandonnée, l'évènement Session_End() est bien exécuté, mais je peux encore accéder aux pages protégées, alors qu'il devrait redemander au client son login/mot de passe.

Comment faire pour que mon site redemande au client de s'identifier ?

Merci pour votre aide.

Ishida

[Ishizaki]

T'as essayé Session["MaSession"] = null ?

Ou un Session.RemoveAll() ?

[Ishida]

Oui, cela ne fonctionne pas.

Sur mdsn, il est bien indiqué d'utiliser Session.Abandon(), mais bien que cela "vide" la session, cela n'empèche pas le client de pouvoir encore accéder aux pages sécurisées!

Une autre idée ?

[Philippe Vialatte]

je suis pas un expert la-dessus, mais vu que ton authentification est basee sur des cookies, ne faut-il pas aussi tuer le cookie ???


enfin, je dis ca comme ca, c'est probablement pas ca, mais sait-on jamais...

[Ishida]

Oui, j'ai pensé à tuer le cookie qui a le nom par défaut (".ASPXANONYMOUS"), mais cela n'a pas solutionné mon problème.

J'ai dans mon fichier web.config:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
// Autorisation sur le dossier en question
<authorization>
        <deny users="?" />
      </authorization>
 
...
 
// Gestion des sessions
<sessionState cookieless="UseCookies"				  
          regenerateExpiredSessionId="false" />

Et dans mon code de deconnexion:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
// Deconnexion du client
HttpContext.Current.Response.Cookies[".ASPXANONYMOUS"].Expires = DateTime.Now.AddDays(-1);
HttpContext.Current.Response.Cookies.Remove(".ASPXANONYMOUS");
HttpContext.Current.Session.Abandon();

[Ishizaki]

Heu, sinon, vider le cache ?

[Ishida]

J'ai trouvé la solution:

Il suffit d'utiliser:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

FormsAuthentication.SignOut();

Merci à Leduke pour cet article.