"postdata backward e sicurezza password problemi"

[lightcode]

Carissimi ho un problemino,
ho notato che la mia zona di sicurezza accessibile con nome utente e password diventa accessibile semplicemente (su Firefox) andando indietro con il browser superando tutte le password perchè come dice l'alert di firefox "tutti i dati sono rispediti perchè la pagina contiene postdata", avevo scelto un sistema semplice per essere sicuro che non si entrasse senza password semplicemente fatto il login veniva creata una variabile di sessione che aveva un valore tipo
$_SESSION['valida']="ok" finchè la sessione non era chiusa, una specie di pass consegnato dopo il login più sicuro di un cookie perchè lato server(so che non è blindato), qualcuno può darmi suggerimenti a riguardo anche magari dove andarsi a rivedere il problema del login sicuro in php.
l'idea era se torna indietro il valore della variabile di sessione sarà stato annullato e quindi non ci sarà login ,
la pagina è comunque sempre la stessa che carica più pagine dentro per la carica di ognuna di queste pagine viene fatto il controllo della variabile di sessione rilasciata solo all'inizio del login.

non credo che sia un problema difficilissimo tuttavia un aiutino mi farebbe comodo

ps. non ho messo il codice perchè è tanto

saluti

LightCode

[lbottoni]

-niente action nell'html del form, associa a onclick="unafunzionejs()"
-nella funzione js inserisci l'action e il submit del form
-fai puntare a una pagina php che elabora i dati
-se la login è corretta trasferisci a una terza pagina con header("Location: pagina.php");

questo permetterà di fare anche 100 volte f5 nel browser ma non ci saranno posta data in memoria.
spegni gli errori quando avrai ultimato il lavoro per evitare di dare messaggi agli intrusori.

ciao

[enricoska]

a cosa serve passare l'action con js ?

[luca200]

Dovresti evitare di lasciare nella history del browser pagine che ricevono dati in post.
Cioè utilizza quelle pagine solo per elaborare i dati e poi fai un redirect su un'altra pagina di sola visualizzazione. In questo modo il problema non dovrebbe verificarsi.

[enricoska]

ma questo non lo ottengo già mettendo un action in html che punta a una pagina che elabora e reindirizza?
allora perchè usare js per impostare l'action?

[luca200]

Originariamente inviato da enricoska
allora perchè usare js per impostare l'action?

Inutile