tengo un problema en cuanto a la seguridad en una aplicación de Angular.
Para iniciar sesión y controlar X datos, estos de guardan en sessionStorage(). Cuando se cierra la sesión en la aplicación, devuelve a la página de 'login' eliminando todo el sessionStorage. El problema de seguridad está en que al darle al botón atrás del navegador un par de veces, vuelve a la página principal de la aplicación sin tener que iniciar sesión y con todos los datos del sessionStorage nuevamente cargados tal y como estaban antes de cerrar la sesión.
He encontrado 2 soluciones:
- Deshabilitar el botón de atrás del navegador mediante el siguiente código:
deshabilitaRetroceso(){
window.location.hash="no-back-button";
window.location.hash="Again-No-back-button" //chrome
window.onhashchange=function(){window.location.hash="no-back-button";}
}
- Controlar el botón atrás del navegador redirigiendo a la página de login con el siguiente código:
this.router.events
.subscribe((event: NavigationStart) => {
if (event.navigationTrigger === 'popstate') {
this.router.navigate(['login']);
}
});
Necesito conocer alguna otra forma de controlar que al cerrar la sesión, no se pueda volver a uno de los componentes de la aplicación si no se ha iniciado sesión y que no se recuperen los datos del sessionStorage.
Tengo controlado el routing con el canActivate, pero en este caso no se ejecuta, ya que al darle al botón atrás del navegador, vuelve a la vista pero no recarga el componente, por lo que no ejecuta el canActivate, pero al tener los sessionStorage recuperados, se puede hacer cualquier consulta ya que están los necesarios para esto.
Espero que me podáis ayudar. Gracias, Saludos.
Contenido editado:
Código que tengo en el canActivate:
guard() {
if (sessionStorage.getItem('ejemplo1') != null && (sessionStorage.getItem('ejemplo2') != null || sessionStorage.getItem('ejemplo3') != null)) {
return true;
} else {
return false;
}
}
Esto se ejecuta en todas excepto en la de login y error ya que al ir a estas 2 paginas hay un sessionStorage.clear(), los datos del guard() que se usan para verificar la sesión no estarán y por lo tanto no se podrá verificar el canActivate en estas 2 paginas.
Tras buscar, he encontrado la posible solución. Resulta que es un problema de Angular en versiones inferiores a las 12. En esta versión se solucionó según he leído en este post:
Gracias.