Sessions sikkerhed

Hvis du laver en Session.Abandon ved log af, skulle du være sikret.

At de ser den anden persons oplysninger, kan måske være pga lokal cache?

Prøv fx "Session.Abandon" til at rydde op, når brugerne logger ud. "Session.Timeout = 10" kan fx bruges til at sikre, at sessionen afsluttes, hvis brugeren ikke har foretaget sig noget de sidste 10 min.

...og
<meta http-equiv="Cache-Control" content="no-cache" />
<meta http-equiv="Expires" content="0" />
til at undgå at den ligger i den lokale cache.

samt <% Response.CacheControl = "Private" %>

Lyder jo meget godt.
Skal Response.CacheControl sættes ind på hver side?

Det burde ikke være nødvendigt, men jeg har ikke undersøgt sagen. Den bevares formodentlig indenfor en given session. Du kan evt. undersøge sagen ved at læse den ud på en side, som du har linket til fra den side, hvor du har sat værdien første gang.

Efter at have kigget i dokumentation må jeg nok korrigere min kommentar ovenfor, jf. http://msdn.microsoft.com/library/default.asp?url=/library/en-us/iisref/htm/ref_vbom_resopcc.asp

<% Response.CacheControl = "No-cache" %>

og variablen skal sættes før der sendes respons til brugeren (dvs. før du bruger eksemplevis flush eller end. Det skal dog siges, at det ikke er nogen garanti i sig selv, se ovenstående artikel på MS' side. Om siden gemmes i cachen er op til den browser, som brugeren anvender, ligesom siden kan blive gemt i en proxy, som er ikke er sat op til at respektere no-cache flaget.

Mange tak for hjælpen.

Ville godt have givet dig squashguy lidt af pointene men du har ikke lavet et svar men en kommentar. Håber du overlever ;)

Det er helt i orden :)