理解 Cache-Control 头部：公共和个性化响应

区分存储和重用

缓存是一种改善 Web 性能的基本技术，但了解它如何与数据敏感性交互至关重要。核心概念是区分存储响应和重用存储的响应。缓存可以存储响应，但必须在重用之前验证它。‘no-store’ 阻止存储和重用，确保响应永远不会离开客户端的浏览器。‘no-cache’ 允许存储，但强制在重用之前验证，从而确保浏览器始终接收到最新的版本。‘private’ 限制存储仅限于私有缓存，从而防止共享缓存向其他用户提供个性化内容。

考虑一个场景，用户登录。包含他们个性化资料数据的响应应被视为私有。如果没有 ‘private’，共享缓存可能会向其他用户提供此数据，从而危及他们的隐私。MDN 文档强调，‘no-cache’ 不意味着“不要缓存”，而是意味着“在重用之前始终验证。”

理解 no-store

Cache-Control: no-store 指令是最严格的指令。它指示所有缓存 - - 包括私有和共享缓存 - - *不要* 存储响应。这对于高度敏感的数据、一次性响应或永远不应该被重用的内容来说是合适的选择。它有效地禁用了指定资源的缓存。示例：Cache-Control: no-store 将阻止任何缓存存储响应，无论它是否为浏览器缓存或 CDN 缓存。这对于防止未经授权访问敏感信息至关重要。

理解 no-cache

Cache-Control: no-cache 指令允许缓存，但它*始终* 要求缓存在重用之前与源服务器重新验证响应。这确保浏览器接收到资源的最新版本，即使缓存拥有过时的副本。这在性能和数据新鲜度之间取得了平衡。

这个指令并不意味着“不要缓存”，而是意味着“在重用之前始终验证”。浏览器始终会向服务器发出请求来验证缓存副本是否仍然有效。这对于可能经常更改的资源特别有用，例如动态内容。

理解 private

Cache-Control: private 指令限制缓存仅限于私有缓存 - - 与特定用户关联的缓存，例如浏览器的本地缓存。这可以防止共享缓存向其他用户提供个性化内容。这对于保护用户隐私至关重要。

当响应包含个性化数据时，使用 ‘private’ 至关重要。如果没有它，共享缓存可能会向多个用户提供相同的响应，从而可能泄露他们的个人信息。MDN 文档指出，‘private’ 对于接收登录后响应的响应尤其重要。

比较三种响应策略

以下表格总结了这三个指令的关键差异：

| 指令 | 存储 | 验证 | 范围 |

| --------- | ------- | ---------- | ----------- |

| no-store | 否 | N/A | 所有缓存 |

| no-cache | 是 | 总是 | 所有缓存 |

| private | 是 | 总是 | 私有缓存 |

检查浏览器请求

使用浏览器的开发者工具（通常通过按 F12 访问），您可以检查网络请求的 Cache-Control 头部。在“网络”选项卡中查找“头”部分。这将显示浏览器发送的精确头，包括 Cache-Control 指令。

例如，如果您正在查看带有个性化资料的页面，您应该在请求头中看到 Cache-Control: private no-cache。这表明浏览器正在请求将响应仅存储在本地缓存中，并在重用之前需要验证。

处理个性化响应

个性化响应 - - 包含用户特定数据，例如登录信息、偏好或购物车的响应 - - 需要仔细考虑 Cache-Control 头部。始终使用 Cache-Control: private 以防止共享缓存向其他用户提供此数据。

未能做到这一点可能导致严重的隐私泄露和安全漏洞。MDN 文档明确建议为用户个性化内容使用 ‘private’。

认识到排挤和遗留限制

重要的是要认识到，即使使用 ‘no-cache’，浏览器的历史记录缓存（bfcache）也可能在不验证的情况下提供缓存响应。这是一个遗留行为，旨在恢复以前的会话，不受 Cache-Control 头部控制。此外，HTTP/1.0 缓存可能无法完全支持 ‘no-cache’ 指令，从而导致过时的响应被重用。使用 ‘max-age=0, must-revalidate’ 作为解决方法可以解决此问题，但最好使用 ‘no-cache’ 只要可能。