解決登出後瀏覽器「返回鍵」仍能進入受保護頁面的四種方案

問題描述

使用者點擊「登出」後，瀏覽器快取仍保留受保護頁面。按「返回鍵」無需重新驗證即可進入，造成資安風險。尤其在 iPad、Android 瀏覽器上更明顯。

方案對比

推薦方案完整程式碼

前端 (jQuery)

function logout(isLogout) {
    if (!isLogout) return "Error";
    $.ajax({
        url: "Ajax/logout.aspx",
        data: { code: encodeURI(isLogout) },
        cache: false,
        dataType: "html",
        success: LogoutReturn
    });
}

function LogoutReturn(context) {
    if (context === "success") {
        location.replace('login.aspx'); // 不留歷史
    }
}

後端 (logout.aspx)

protected void Page_Load(object sender, EventArgs e)
{
    Session.Clear();
    Session.Abandon();
    Response.Cache.SetNoStore();
    Response.Write("success");
    Response.End();
}

關鍵點解析

• location.replace：以新 URL 取代目前歷史記錄項目，使用者無法按「返回」回到已登出頁面。
• AJAX 非同步清除 Session：避免表單提交導致的歷史記錄殘留。
• cache: false：防止 AJAX 被快取導致登出失效。

補充建議

1. 在受保護頁面 Page_Init 檢查 Session["User"] == null 則 Response.Redirect("login.aspx")，雙重保險。
2. 若採用 SPA 架構，配合 Router Guard (如 Angular CanActivate) 在前端攔截。