个人资料页面不应被共享缓存错误地展示给别人，但禁止共享缓存和禁止保存响应并不是同一项要求。配置Cache-Control时，需要先区分缓存所在的位置。
private允许私人缓存保存
private表示响应只应存于私人缓存，例如浏览器缓存，而不应存入共享缓存。no-store要求缓存不要存储该响应。no-cache则允许保存，但再次使用前需要验证，并不是名称看起来那样“完全不缓存”。
缓存指令不负责登录权限
无论响应怎样缓存，服务器仍需对每次受保护访问执行身份与权限检查。已有缓存副本也不会因为后来加上no-store就自动全部消失；改变策略时应按实际缓存层处理旧副本，并检查代理是否尊重响应头。
分别检查两个测试账户
在授权测试环境用虚构资料测试账户A与B，观察内容归属、响应头及缓存命中信息。不要只看刷新后的页面是否正常，也不要把敏感响应设为public来追求命中率。本文解释策略差异，没有修改本站缓存或清空共享服务。
资料与继续学习
MDN：Cache-Control响应头。资料查阅日期：2026年10月4日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年10月4日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
