解决本地Apache+PHP环境下浏览器bfcache导致的登录态残留问题

1. 修复登出逻辑的Cookie删除错误 #

你当前的登出代码中，setcookie的过期时间设置完全错误——代码里把Cookie设为未来过期，这不仅不会删除Cookie，反而会创建一个空值的长期有效Cookie。正确删除Cookie的方式是将过期时间设为过去的时间，比如：

// LOG OUT - 修复Cookie删除逻辑
setcookie('cookie', '', time() - 3600, '/', NULL, FALSE, TRUE); // 过期时间设为当前时间减1小时
header('Location: http://localhost/');
exit;

注意：exit放在header之后，确保头信息发送完成后再终止脚本执行。

2. 添加前端bfcache拦截逻辑 #

浏览器的bfcache（后退/前进缓存）不受常规HTTP缓存头控制，尤其是HTTP协议环境下。需要在所有登录后可见的页面中添加JavaScript，监听pageshow事件（从bfcache加载页面时会触发该事件），实时验证登录状态：

window.addEventListener('pageshow', function(event) {
    // 检查登录Cookie是否存在，替换为你的实际登录Cookie标识
    const isLoggedIn = document.cookie.includes('cookie=');
    if (!isLoggedIn && event.persisted) {
        // 从bfcache加载且未登录，强制刷新页面触发PHP验证逻辑
        window.location.reload();
    }
});

将这段代码放在页面底部，或全局引入的JS文件中，确保每个需要登录权限的页面都能触发验证。

3. 优化HTTP缓存头（辅助增强） #

虽然bfcache不受常规缓存头完全控制，但调整头信息可以进一步限制浏览器的常规缓存行为：

header('Content-type: text/html; charset=utf-8');
header('Expires: Thu, 01 Jan 1970 00:00:00 GMT'); // 直接设为过去的固定时间
header('Last-Modified: ' . gmdate('D, d M Y H:i:s') . ' GMT'); // 实时更新最后修改时间
header('Cache-Control: no-store, no-cache, must-revalidate, max-age=0, private');
header('Pragma: no-cache');

新增的private指令告知浏览器该页面是用户私有内容，禁止共享缓存；将Expires设为Unix纪元时间，彻底禁用浏览器的常规缓存机制。

为什么线上HTTPS环境无此问题？ #

HTTPS协议下浏览器对bfcache有更严格的安全限制：

• 包含敏感内容的页面通常不会被存入bfcache
• HTTPS的安全策略会强制页面在后退时重新验证状态，避免缓存敏感信息

内容的提问来源于stack exchange，提问作者mowgli