feat(bezpieczeństwo): przycisk wylogowania (LOG-32)

Aplikacja nie miała jak z siebie wyjść: raz podane hasło działało do zamknięcia przeglądarki, a na wspólnym komputerze nie było sposobu, żeby oddać ekran komuś innemu. HTTP BASIC NIE MA PRAWDZIWEGO WYLOGOWANIA i to jest sedno tej zmiany. Nie ma sesji do skasowania: przeglądarka zapamiętuje login i hasło, po czym dosyła je SAMA przy każdym żądaniu. Serwer nie ma czego zapomnieć — kolejne kliknięcie przyszłoby z kompletem poświadczeń i weszłoby z powrotem. Działa natomiast doprowadzenie do tego, żeby to PRZEGLĄDARKA porzuciła zapamiętane dane, i robimy to dwutorowo, bo ani jedno, ani drugie osobno nie wystarcza: 1. /wyloguj odpowiada ZAWSZE 401 z nagłówkiem WWW-Authenticate, co wymusza ponowne pytanie o hasło. Działa bez JavaScriptu, ale samo w sobie zostawia stare dane w pamięci przeglądarki: po anulowaniu okienka wystarczyłoby wejść na dowolny adres, żeby wrócić do środka. 2. wyloguj.js wysyła żądanie z CELOWO błędnymi danymi, którym przeglądarka nadpisuje swój wpis. To jest część, która faktycznie czyści pamięć — ale opiera się na zachowaniu powszechnym, a nie zapisanym w standardzie, więc nie może być jedynym mechanizmem. Strona wylogowania mówi wprost, że pewnym sposobem w KAŻDEJ przeglądarce jest zamknięcie okna. Nie obiecujemy więcej, niż Basic potrafi — obietnica bez pokrycia byłaby tu gorsza od braku przycisku, bo dawałaby złudzenie, że ekran jest oddany. Trasa stoi POZA bramką logowania, celowo: inaczej dostałaby 200 od zalogowanej sesji i nie miałaby jak odpowiedzieć 401. Odpowiada też bez logowania — inaczej wyjście wymagałoby bycia w środku, co jest błędnym kołem. Nagłówki zakazują zapamiętania strony, bo oddana z pamięci podręcznej nie dotarłaby do serwera i okienko w ogóle by się nie pojawiło. Obok wyjścia pokazujemy, KTO jest zalogowany: bez tego przycisk jest w połowie bezużyteczny, bo na wspólnym komputerze nie wiadomo, kogo się wylogowuje. Przy wyłączonym logowaniu nie ma ani jednego, ani drugiego — przycisk sugerowałby ochronę, której nie ma. Sprawdzone w przeglądarce: oba żądania wychodzą (to z błędnymi danymi i samo przejście), oba wracają 401, strona renderuje się poprawnie. Samego unieważnienia pamięci poświadczeń NIE dało się tu potwierdzić — wymaga okienka systemowego, którego automat nie obsłuży. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-20 23:52:04 +02:00
parent ee3c515d59
commit 71bb3b9c0a
7 changed files with 202 additions and 1 deletions
@@ -13,6 +13,9 @@
  {# Powiększanie kosmogramu (PRE-25) — globalnie, bo koło pojawi się też na
     zakładce „Skompiluj"; skrypt sam sprawdza, czy jest co powiększać. #}
  <script defer src="{{ static('wheelzoom.js') }}"></script>
+  {# Wylogowanie z Basic wymaga kroku po stronie przeglądarki — patrz komentarz
+     w wyloguj.js. Bez JavaScriptu link nadal działa, tylko słabiej. #}
+  <script defer src="{{ static('wyloguj.js') }}"></script>
  <script defer src="{{ static('wheeltip.js') }}"></script>
 </head>
 <body>
@@ -29,6 +32,15 @@
        {% if can(request, 'admin') %}
        <a href="/accounts" class="{{ 'active' if nav_active is defined and nav_active == 'accounts' else '' }}">Konta</a>
        {% endif %}
+        {# Wyjście na końcu paska i odsunięte: to nie jest zakładka, tylko
+           czynność — pomylenie go z zakładką kosztuje przypadkowe wylogowania.
+           Pokazujemy też KTO jest zalogowany, bo bez tego przycisk wyjścia jest
+           w połowie bezużyteczny: na wspólnym komputerze nie wiadomo, kogo się
+           wylogowuje. Bez włączonego logowania nie ma z czego wychodzić. #}
+        {% if auth_on() %}
+        <span class="whoami" title="Zalogowano jako">{{ current_user(request) }}</span>
+        <a href="/wyloguj" class="wyloguj" data-wyloguj>Wyloguj</a>
+        {% endif %}
      </nav>
    </header>
    {% block content %}{% endblock %}