Problemer med at logge ud af og til

Hvordan tjekker du, om man er logget ind?

Muligvis viser siden bare den cachede indloggede side. Hvad hvis du i toppen af alle sider skriver:

<%Response.Expires=-1%>

Her er mit login script, og tjekker for det meste om Session("userid") er større end 0.

<%
If Session("userid") = "" OR Session("userid") = 0 Then

  If Request.Cookies("vdb_autologin")("autologin") = "yes" Then
    username = Request.Cookies("vdb_autologin")("username")
    password = Request.Cookies("vdb_autologin")("password")
  ElseIf Request.Form("login_username") > "" Then
    username = Request.Form("login_username")
    password = Request.Form("login_password")
  End If

  strSQL = "Select * from sys_users where usUsername='" & username & "' AND usPassword='" & password & "' AND usValid=true"
  Set rsLogin = ConnMain.Execute (strSQL)
  If not (rsLogin.EOF OR rsLogin.BOF) Then

    If rsLogin("usRole") >= SITE_VARIABLE_LOCKUSERLOGIN Then

      Session("userid") = rsLogin("usID")
      Session("userrole") = rsLogin("usRole")

      If Session("userrole") >= 9 Then
        Session("bypasslockdown") = true
      End If

      If rsLogin("usLastLogin") > "" Then
        Session("userlastlogin") = rsLogin("usLastLogin")
      Else
        Session("userlastlogin") = Now()
      End If

      loginSQL = "update sys_users set [usLastLogin]=Now() where usID=" & rsLogin("usID")
      ConnMain.Execute(loginSQL)

      Foldercheckuser rsLogin("usID")

      If Request.Form("login_autologin") <> "" OR Request.Cookies("vdb_autologin")("autologin") = "yes" Then
        Response.Cookies("vdb_autologin")("username") = username
        Response.Cookies("vdb_autologin")("password") = password
        Response.Cookies("vdb_autologin")("autologin") = "yes"
        Response.Cookies("vdb_autologin").Expires = Date+365
      End If

      Response.Redirect "?" & Request.Querystring

    Else

      Response.Redirect "?pa=main&msg=loginlocked"

    End If

    rsLogin.Close
    set rsLogin = Nothing

  Else

    Session("userid") = 0
    Session("userrole") = 0
    Session("usertheme") = 0

    Response.Cookies("vdb_autologin")("username") = ""
    Response.Cookies("vdb_autologin")("password") = ""
    Response.Cookies("vdb_autologin")("autologin") = ""
    Response.Cookies("vdb_autologin").Expires = Date-365

  End If

End If
%>

Umiddelbart ville jeg stadig foreslå response.expires=-1

Okay, har sat den ind, men det hjalp ikke, hvad gør den lige ?

Jeg tror der ligger er par artikler omkring sql injetion, dem kan du får stor glæde af at læse, eller google lidt på emnet. Men det er et andet problem

Gammelhat >>> Er ikke helt med på hvad du mener det andet problem det er!?

Problemet er sql injektion. Du kontrollerer ikke brugerens input, så han kan manipulere med din sql forespørgsel. Det gør ham i stand til at lave alle mulige former for unoder, bl.a. logge ind som en anden bruger, uden kendskab til dennes password

Okay, det lyder ikke så godt, men hvor kan man finde forklaringer på hvordan man laver sådan noget rigtigt, det der sql injektion?

Hvis du sætter response.expires=-1 på alle dine sider, så bliver de ikke gemt i cachen, og så kommer du ikke til at se gamle sider, f.eks. som om du er logget ind, når du ikke er.

Ang. sql-injections: bl.a. må du ikke tillade brugeren at indtaste ' og "

Du kan undgå det med replace:

Replace(Replace(strUsername,"'","&#39;"),"""","&quot;")

Eller mere overskueligt:

strUsername=Replace(strUsername,"'","&#39;")
strUsername=Replace(strUsername,"""","&quot;")

Istedet for at bruge din replace, har jeg sat en funktion ind, så man kun kan oprette en bruger/logge ind, hvis bruger og kode er rene tal og/eller bogstaver.

Jeg køre også med din response.expires=-1 nu, men jeg tror ikke det er det der er problemet, jeg tror ikke at den sletter cookies og derfor bliver den ved men at logge ind fordi der findes cookies for en aktiv bruger.

Så prøv at response.write noget på skærmen lige efter sletning af cookies, så vi ser, om den kører den del.

Jeg tror den udføre scriptet, for den kommer ikke med fejl eller noget, hvis jeg sætter noget tekst ind lige efter sletning.
Er lige kommet itanke om noget, med ikke helt om dette har nogen betydning, men det site jeg har problemer med ligger på et subdomæne og login/logout er en kopi af det script der ligger på hoveddomænet, dvs. Response.Cookies("vdb_autologin")("username") osv., hedder det samme på begge sider, kan det være muligt at den kan bruge cookie fra hoveddomæne på subdomæne, men at den ikke kan få lov at slette den?

Nå, men indtil nu ser det ud til at det virker, så hvis i begge vil lægge et svar så deler jeg point mellem jer, da i begge har hjulpet med forbedringen af min side.

Ok. =)