Clear-Site-Data für IIS konfigurieren

// ASP.NET Core — Clear-Site-Data beim Logout
// In der Logout-Action oder Middleware
app.MapPost("/logout", async (HttpContext context) =>
{
    // Session beenden
    await context.SignOutAsync();

    // Browser-Daten löschen
    context.Response.Headers.Append(
        "Clear-Site-Data",
        ""cache", "cookies", "storage"");

    return Results.Redirect("/");
});

// ASP.NET Core Middleware — Multi-Route Clear-Site-Data
// Nuetzlich wenn mehrere Logout-Endpunkte existieren
app.Use(async (context, next) =>
{
    await next();

    // Nur auf Logout-Routen den Header setzen
    var path = context.Request.Path.Value?.ToLower();
    var logoutPaths = new[] {
        "/logout",
        "/account/logout",
        "/api/auth/signout"
    };

    if (logoutPaths.Any(p => path?.StartsWith(p) == true))
    {
        context.Response.Headers.Append(
            "Clear-Site-Data",
            ""cache", "cookies", "storage"");
    }
});

# PowerShell — URL Rewrite outboundRule per Script deployen
# Ideal für Windows Server Core ohne GUI
$sitePath = 'MACHINE/WEBROOT/APPHOST/Default Web Site'

# Prüfen ob URL Rewrite Module installiert ist
$rewriteModule = Get-WebGlobalModule |
  Where-Object { $_.Name -eq "RewriteModule" }

if (-not $rewriteModule) {
  Write-Host "URL Rewrite Module nicht installiert!" -ForegroundColor Red
  Write-Host "Download: https://www.iis.net/downloads/microsoft/url-rewrite"
  exit 1
}

# Server-Variable für den Response-Header erlauben
Add-WebConfigurationProperty -pspath $sitePath \
  -filter "system.webServer/rewrite/allowedServerVariables" \
  -name "." -value @{
    name = 'RESPONSE_Clear-Site-Data'
  }

Write-Host "Clear-Site-Data Server-Variable konfiguriert."

# Logout-Route prüfen (Header muss vorhanden sein)
curl -sI -X POST https://ihre-domain.de/logout |
  Select-String "Clear-Site-Data"
# Erwartet: Clear-Site-Data: "cache", "cookies", "storage"

# Normale Seite prüfen (Header darf NICHT vorhanden sein)
curl -sI https://ihre-domain.de/ |
  Select-String "Clear-Site-Data"
# Erwartet: Kein Ergebnis

# Browser-Test nach Logout:
# DevTools (F12) → Application → Local Storage
# Alle Eintraege müssen nach Logout leer sein