屏蔽后退按钮.doc

在JSP页面加下面清除缓存代码试下看看： 1、 加个防重复提交代码，Struts里面有的2、Action中跳转时，不要使用mapping.findForward()方式跳转，跳转时候，用return new ActionForward(URL,true);3、在页面上加上判断session，为空，则session失效2、 当开发有密码登陆的系统时，用户退出系统以后，有些页面是不应该让用户使用的，但是由于动态缓存，用户可以点击浏览器的后退按钮去访问一些不应该访问的内容。可能会不安全。其实不是必须清除缓存,退出登陆后清除保存该用户信息的session就可以.既然这个系统是要求登陆后才有权限使用.那么该系统的每一个动作都应该检查是否已经登陆.也就是检查保存登陆用户信息的session是否存在.退出登陆后把session清除,就算退回上一页面,那也根本无法操作系统./javascript:window.history.forward(1);dddd 首先，作为开发人员，拦截是必须的，无论是安全拦截还是异常拦截。 我们先分析为什么通过浏览器返回访问的原因： 1.浏览器缓存 我们有时候会发现是退出系统了可是通过历史记录或者直接访问地址，最后一次操作的数据或显示的列表还在那里，一堆人在冒汗，说你系统不安全！ 其实这时候并没有访问到系统，是本地的浏览器缓存在做怪。 2.没有做权限拦截 很多人在做程序的时候可能会忘记去注意权限分配了，有些功能是要求用户在登录状态下使用的，甚至是某个角色的用户才可以操作的。如果没有做这些限制，很容易被人利用，最简单的就是通过地址直接访问。 这两个方面内容是造成问题出现的绝大部分原因. 解决方案: 1.禁止缓存 如：jsp 2.利用session在页面进行拦截 如:jsp原码 String userid= (String)session.getValue(userid); if(userid=|userid=null)/判断指定session值的存在与否,来检查是否已经登录 跳转到提示页面 else 其他主体程序代码 利用以上两个方法同时使用，能够解决大部分问题，包括浏览器返回的问题。 3.利用struts配置拦截器 4.涉及权限的就不能简判断有没有登录了，应该取出用户的权限值（一般也建议放入session，避免频繁访问数据库）来判断是否可以执行，处理思路也和判断有无登录相同 如：jsp String level= (String)session.getValue(level); if(level=|level=null|!level.equals(1)/判断指定session值的存在与否并检查权限值 跳转到提示页面 else 其他主体程序代码 希望对大家有用，有写得不好的，请各位长辈指正。关键字: 重复 一。前言你在任何一个比较专业的BBS都会看到这样的问题，即使你Google一下，也会发现有很多的人在关注和询问，但大家给出的解决方法却都是千差万别，（有的人主张采用脚本来解决;有的则想重定向到别的页面;有的则将此问题提升到Token的角度）为什么会有如此大的差异呢？二。问题场景首先，我们应该先了解为什么要处理这样的问题？或者专业一点就是它适合的场景是什么？（似乎只有人来问没有人来解释）1。重复提交、重复刷新的场景重复提交、重复刷新都是来解决系统重复记录的问题。也就是说某个人在多次的提交某条记录（为什么？也许是闲了没有事情干的;最有可能是用户根本就不知道自己的提交结果是否已经执行了？！）。但出现了这样的问题并不见得就必须处理，要看你所开发的系统的类别而定。比如你接手的是某个资源管理系统，系统本身从需求的角度根本就不允许出现重复的记录，在这样需求的约束条件下，去执行重复的提交动作只会引发“业务级异常”的产生，根本就不可能执行成功也就无所谓避免不避免的问题了。2。防止后退的场景了解了重复刷新、重复提交的场景，我们来了解一下防止后退操作的原因是什么？比如你在开发某个投票系统，它有很多的步骤，并且这些步骤之间是有联系的，比如第一步会将某些信息发送给第二步，第二步缓存了这些信息，同时将自身的信息发送给了第三步。等等，如果此时用户处在第三步骤下，我们想象一下某个淘气用户的用户点击了后退按钮，此时屏幕出现了第二步骤的页面，他再次的修改或者再次的提交，进入到下一个步骤（也就是第三步骤），错误就会在此产生？！什么错误呢？最为典型的就是这样的操作直接导致了对于第一个步骤信息的丢失！（如果这样的信息是依靠Request存放的话，当然你可以存放在Session或者更大的上下文环境中，但这不是个好主意！关于信息存放的问题，下次在就这个问题详细的讨论）三。如何处理的问题当然很多的系统（比如订票系统从需求上本身是允许个人重复订票的）是必须要避免重复刷新、重复提交、以及防止后退的问题的，但即使是这样的问题，也要区分如何处理以及在哪里处理的（网上只是告诉你如何处理，但很少去区分在哪里处理的），显然处理的方式无非是客户端或者服务器端两种，而面对不同的位置处理的方式也是不同的，但有一点要事先声明：任何客户端（尤其是B/S端）的处理都是不可信任的，最好的也是最应该的是服务器端的处理方法。客户端处理：面对客户端我们可以使用Javascript脚本来解决，如下1。重复刷新、重复提交Ways One：设置一个变量，只允许提交一次。 var checkSubmitFlg = false; function checkSubmit() if (checkSubmitFlg = true) return false; checkSubmitFlg = true; return true; document.ondblclick = function docondblclick() window.event.returnValue = false; document.onclick = function doconclick() if (checkSubmitFlg) window.event.returnValue = false; Way Two : 将提交按钮或者image置为disable2。防止用户后退这里的方法是千姿百态，有的是更改浏览器的历史纪录的，比如使用window.history.forward()方法;有的是“用新页面的URL替换当前的历史纪录，这样浏览历史记录中就只有一个页面，后退按钮永远不会变为可用。”比如使用javascript:location.replace(this.href); event.returnValue=false;2.服务器端的处理（这里只说Struts框架的处理）利用同步令牌（Token）机制来解决Web应用中重复提交的问题，Struts也给出了一个参考实现。基本原理：服务器端在处理到达的请求之前，会将请求中包含的令牌值与保存在当前用户会话中的令牌值进行比较，看是否匹配。在处理完该请求后，且在答复发送给客户端之前，将会产生一个新的令牌，该令牌除传给客户端以外，也会将用户会话中保存的旧的令牌进行替换。这样如果用户回退到刚才的提交页面并再次提交的话，客户端传过来的令牌就和服务器端的令牌不一致，从而有效地防止了重复提交的发生。if (isTokenValid(request, true) / your code here return mapping.findForward(success); else saveToken(request); return mapping.findForward(submitagain);Struts根据用户会话ID和当前系统时间来生成一个唯一（对于每个会话）令牌的，具体实现可以参考TokenProcessor类中的generateToken()方法。1. /验证事务控制令牌,会自动根据session中标识生成一个隐含input代表令牌，防止两次提交2. 在action中： / if (!isTokenValid(request) errors.add(ActionErrors.GLOBAL_ERROR, new ActionError(error.transaction.token); resetToken(request); /删除session中的令牌3. action有这样的一个方法生成令牌 protected String generateToken(HttpServletRequest request) HttpSession session = request.getSession(); try byte id = session.getId().getBytes(); byte now = new Long(System.currentTimeMillis().toString().getBytes(); MessageDigest md = MessageDigest.getInstance(MD5); md.update(id); md.update(now); return (toHex(md.digest(); catch (IllegalStateException e) return (null); catch (NoSuchAlgorithmException e) return (null); 总结对于重复提交、重复刷新、防止后退等等都是属于系统为避免重复记录而需要解决的问题，在客户端去处理需要针对每一种的可能提出相应的解决方案，然而在服务器端看来只不过是对于数据真实性的检验问题，基于令牌的处理就是一劳永逸的方法。同时我们也看到，从不同的角度去看待问题，其解决的方法也是不同的。客户端更追求的是用户的操作，而服务端则将注意力放在了数据的处理上，所以在某个对于服务器端看似容易的问题上，用客户端来解决却麻烦了很多！反之依然。所以在某些问题的处理上我们需要综合考虑和平衡，是用客户端来解决？还是用服务器端来处理？=第一篇=结束=第二篇=开始=网页防刷新重复提交、防后退解决方法提交后禁用提交按钮（大部分人都是这样做的）如果客户提交后,按F5刷新怎么办?使用Session在提交的页面也就是数据库处理之前：if session(ok)=true then response.write 错误，正在提交 response.endend if数据处理完后，修改session(ok)=false。数据处理成功马上Redirect到另外一个页面操作后刷新的确是个问题，你可以使用跳转页面、关闭本页面，如果是有参数据条件来控制的，那就应该好做了，可以直接修改window.location的值，把参数全部改掉，这样就差不多了。缺点：简单地运用Response.Redirect将不再有效，因为用户从一个页面转到另一个页面，我们都必须用客户端代码清除location.history。注意，这种方法清除的是最后一个访问历史记录，而不是全部的访问记录。 点击后退按钮，再点击后退按钮，你可以看到这时打开的是本页面之前的页面！（当然，这是在你的客户端启用了JavaScript功能的条件下。）如果客户按后退，怎么办？防止网页后退-禁止缓存我们在进行数据库添加操作的时候，如果允许后退，而正巧有刷新了页面，就会再次执行添加操作，无疑这不是我们需要的，像一般网上很多禁止缓存的代码，有时并不可靠，这时你只要在操作的页面加上就可以了，在网页的里指定要定向的新页，再点后退，看是不是不会再退到刚才的操作页面了，实际上已经把这个历史给删除了ASP：Response.Buffer = TrueResponse.ExpiresAbsolute = Now() - 1Response.Expires = 0Response.CacheControl = no-cacheASP.NET：Response.Buffer=true;Response.ExpiresAbsolute=DateTime.Now.AddSeconds(-1);Response.Expires=0;Response.CacheControl=no-cache;究竟怎样才能禁用浏览器的后退按钮？或者“怎样才能防止用户点击后退按钮返回以前浏览过的页面？”遗憾的是，我们无法禁用浏览器的后退按钮。防止网页后退-新开窗口用window.open弹出表单页面，点提交后关闭该页；处理提交的ASP页也是用弹出，设定表单的target,点提交时window.open(XXX.asp,_blank),然后用JS来提交表单，完成后window.close()；简单的说，就是提交表单的时候弹出新窗口，关闭本窗口。对于window.open()打开的窗口怎么后退？能后退到哪里去？呵呵，罗嗦了一堆废话，知道怎么处理了么？混合运用客户端脚本和服务器端脚本。=第二篇=结束=第三篇=开始=jsp重复提交问题看了网上的，有几种方法：1 在你的表单页里HEAD区加入这段代码:2生成一个令牌保存在用户session中，在form中加一个hidden域，显示该令牌的值，form提交后重新生成一个新的令牌，将用户提交的令牌和session中的令牌比较，如相同则是重复提交3在你的服务器端控件的代码中使用Response.Redirect(selfPage)语句。但是大多的数都不使用这种方法。方法还有很多。45在JSP页面的FORM表单中添加一个hidden域input type=hidden name=urlvalue=在你的serverlet中添加如下语句String url=request.getParameter(url);response.sendRedirect(url);我一般都是采用这样的方法返回JSP页面的,不太明白你说的重复刷新是什么概念6 ajax 无刷新提交7 Web开发中防止浏览器的刷新键引起系统操作重复提交怎么解决呢？重定向可以解决页面刷新带来的数据的重复提交的问题，我们自然可以利用重定向的方式来解决这个问题。但是struts的action里面mapping.findword（）；跳转的话，默认的是在工程文件夹里面找要跳转的页面。这种情况，怎么解决呢？修改strutsconfig.xml 文件， 在action里面有一个redirect重新定向的属性，struts中默认的是false，添加这个属性，改成true，在forword中写上要跳转页面的绝对或者相对地址就行了修改如下： =第三篇=结束=第四篇=开始=浏览器相关难处理的问题浏览器的后退按钮使得我们能够方便地返回以前访问过的页面，它无疑非常有用。但有时候我们不得不关闭这个功能，以防止用户打乱预定的页面访问次序。本文介绍网络上可找到的各种禁用浏览器后退按钮方案，分析它们各自的优缺点和适用场合。一、概述 曾经有许多人问起，“怎样才能禁用浏览器的后退按钮？”，或者“怎样才能防止用户点击后退按钮返回以前浏览过的页面？”在ASP论坛上，这个问题也是问得最多的问题之一。遗憾的是，答案非常简单：我们无法禁用浏览器的后退按钮。 起先我对于居然有人想要禁用浏览器的后退按钮感到不可思议。后来，看到竟然有那么多的人想要禁用这个后退按钮，我也就释然（想要禁用的只有后退按钮，不包括浏览器的前进按钮）。因为在默认情况下，用户提交表单之后可以通过后退按钮返回表单页面（而不是使用“编辑”按钮！），然后再次编辑并提交表单向数据库插入新的记录。这是我们不愿看到的。 因此我就决定要找出避免出现这种情况的方法。我访问了许多网站，参考了这些网站所介绍的各种实现方法。如果你经常访问ASP编程网站，本文所介绍的部分内容你可能已经见到过。本文的任务是把各种可能的方法都介绍给大家，然后找出最好的方法！二、禁止缓存 在我找到的许多方案中，其中有一种建议禁止页面缓存。具体是使用服务器端脚本，如下所示： 这种方法非常有效！它强制浏览器重新访问服务器下载页面，而不是从缓存读取页面。使用这种方法时，编程者的主要任务是创建一个会话级的变量，通过这个变量确定用户是否仍旧可以查看那个不适合通过后退按钮访问的页面。由于浏览器不再缓存这个页面，当用户点击后退按钮时浏览器将重新下载该页面，此时程序就可以检查那个会话变量，看看是否应该允许用户打开这个页面。 例如，假设我们有如下表单： 0 then&single; 用户已经访问过当前页面，现在是再次返回访问。&single; 清除会话变量，将用户重定向到登录页面。Session(FirstTimeToPage) = Response.Redirect /Bar.aspResponse.EndEnd If&single; 如果程序运行到这里，说明用户能够查看当前页面&single; 以下开始创建表单% 我们借助会话变量FirstTimeToPage检查用户是否是第一次访问当前页面。如果不是第一次（即Session(FirstTimeToPage)包含某个值），那么我们就清除会话变量的值，然后把用户重新定向到一个开始页面。这样，当表单提交时（此时SompePage.asp被打开），我们必须赋予FirstTimeToPage一个值。即，在SomePage.asp中我们需要加上下面的代码：Session(FirstTimeToPage) = NO 这样，已经打开SomePage.asp的用户如果点击后退按钮，浏览器将重新请求服务器下载页面，服务器检查到Session(FirstTimeToPage)包含了一个值，于是就清除Session(FirstTimeToPage)，并把用户重定向到其他页面。当然，所有这一切都需要用户启用了Cookie，否则会话变量将是无效的。（有关该问题的更多说明，请参见For session ariables to work, must the Web visitor have cookies enabled?） 另外，我们也可以用客户端代码使浏览器不再缓存Web页面： 如果使用上面的方法强制浏览器不再缓存Web页面，必须注意以下几点：只有在使用安全连接时“Pragma: no-cache”才防止浏览器缓存页面。对于不受安全保护的页面，“Pragma: no-cache”被视为与“Expires: -1”相同，此时浏览器仍旧缓存页面，但把页面标记为立即过期。在IE 4或5中，“Cache-Control”META HTTP-EQUIV标记将被忽略，不起作用。 在实际应用中我们可以加上所有这些代码。然而，由于这种方法不能适用于所有的浏览器，所以是不推荐使用的。但如果是在Intranet环境下，管理员可以控制用户使用哪种浏览器，我想还是有人会使用这种方法。三、其他方法 接下来我们要讨论的方法以后退按钮本身为中心，而不是浏览器缓存。这儿有一篇文章Rewiring the Back Button很值得参考。不过我注意到，如果使用这种方法，虽然用户点击一下后退按钮时他不会看到以前输入数据的页面，但只要点击两次就可以，这可不是我们希望的效果，因为很多时候，固执的用户总是能够找到绕过预防措施的办法。 另外一种禁用后退按钮的办法是用客户端JavaScript打开一个没有工具条的窗口，这使得用户很难返回前一页面，但不是不可能。一种更安全但相当恼人的方法是，当表单提交时打开一个新的窗口，与此同时关闭表单所在的窗口。但我觉得这种方法不值得认真考虑，因为我们总不能让用户每提交一个表单就打开一个新窗口。 那么，在那个我们不想让用户返回的页面是否也可以加入JavaScript代码呢？在这个页面中加入的JavaScript代码可用来产生点击前进按钮的效果，这样也就抵消了用户点击后退按钮所产生的动作。用于实现该功能的JavaScript代码如下所示： 同样地，这种方法虽然有效，但距离“最好的方法”还差得很远。后来我又看到有人建议用location.replace从一个页面转到另一个页面。这种方法的原理是，用新页面的URL替换当前的历史纪录，这样浏览历史记录中就只有一个页面，后退按钮永远不会变为可用。我想这可能正是许多人所寻求的方法，但这种方法仍旧不是任何情况下的最好方法。使用这种方法的实例如下所示：禁止后退到本页面的链接 禁止后退到本页面的链接！ 这种方法的缺点在于：简单地运用Response.Redirect将不再有效，这是因为每次用户从一个页面转到另一个页面，我们都必须用客户端代码清除location.history。另外还要注意，这种方法清除的是最后一个访问历史记录，而不是全部的访问记录。 点击上面的链接，你将打开一个简单的H