[etc] Logout 후 뒤로 가기 방지 - BF Cache

문제

• logout을 한 뒤에 로그인 권한이 필요한 페이지로 뒤로 가기를 눌렀을 때, 데이터가 그대로 노출되는 문제
• 보안상의 결함으로 수정해야하는 경우

원인

• 브라우저에서 관리하는 BF Cache(Back-Forward Cache)
  • 웹 페이지를 방문하면 해당 페이지의 css/html/javascript/image 등 모든 리소스를 캐시에 저장
  • 뒤로가기 / 앞으로 가기 버튼을 누르면 서버에 다시 요청하지 않고 캐시 리소스 활용해서 로딩
• 로그아웃 이후에도 BF Cache가 남아있기 때문에 다시 페이지가 보일 수 있음

해결 방법(Fast API 기준)

• Jinja Template response 사용
• 로그인 해야 이용할 수 있는 페이지에 접속 요청을 보내면 라우터에서 access token 확인
• 권한이 있는 경우 접속 허용, 없는 경우 로그인 페이지로 redirection
• 클라이언트에 reponse를 보낼 때 로그인 해야하는 페이지의 BF Cache를 비활성화
• response header에 포함됨

@app.get("/")
def mainPage(request: Request):
    if "access_token" in request.cookies:
        token = utils.get_token(request.cookies.get("access_token"))
        auth = utils.get_current_user(token)
        data = ...
        return templates.TemplateResponse(
            "main.html",
            context={"request": request, "data": data},
            headers={
                "Cache-Control": "no-cache, no-store, must-revalidate",
                "Pragma": "no-cache",
                "Expires": "Sat, 6 May 1995 12:00:00 GMT",
            },
        )
    else:
        return RedirectResponse(url="/login")