Warum sollten in der HTTP-Antwort sowohl No-Cache als auch No-Store verwendet werden?

Ich soll verhindern, dass Benutzerinformationen verloren gehen. Nur "kein Cache" als Antwort reicht nicht aus. "no-store" ist ebenfalls erforderlich.

Cache-Control: no-cache, no-store

Nachdem ich diese Spezifikation http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html gelesen habe , bin ich mir immer noch nicht ganz sicher, warum.

Mein derzeitiges Verständnis ist, dass es nur für Zwischen-Cache-Server ist. Selbst wenn "kein Cache" antwortet, kann der Zwischen-Cache-Server den Inhalt dennoch in einem nichtflüchtigen Speicher speichern. Der Zwischen-Cache-Server entscheidet, ob der gespeicherte Inhalt für die folgende Anforderung verwendet wird. Wenn jedoch "no-store" in der Antwort enthalten ist, soll der Zwischen-Cache-Server den Inhalt nicht speichern. Es ist also sicherer.

Gibt es einen anderen Grund, warum wir sowohl "No-Cache" als auch "No-Store" benötigen?

Ich muss klarstellen, dass no-cachedas nicht bedeutet , nicht zwischenzuspeichern . Tatsächlich bedeutet dies "erneut mit Server validieren", bevor bei jeder Anforderung eine zwischengespeicherte Antwort verwendet wird.

must-revalidateAuf der anderen Seite muss nur erneut validiert werden, wenn die Ressource als veraltet betrachtet wird.

Wenn der Server angibt, dass die Ressource noch gültig ist, kann der Cache mit seiner Darstellung antworten, wodurch die Notwendigkeit verringert wird, dass der Server die gesamte Ressource erneut sendet.

no-storeist effektiv die vollständige Nicht-Cache- Direktive und soll verhindern, dass die Darstellung in irgendeiner Form von Cache gespeichert wird.

Ich sage was auch immer, aber beachte dies in der RFC 2616 HTTP-Spezifikation:

Verlaufspuffer KÖNNEN solche Antworten als Teil ihres normalen Betriebs speichern

Dies wird jedoch in der neueren RFC 7234-HTTP-Spezifikation weggelassen, um möglicherweise zu versuchen, no-storestärker zu werden, siehe:

http://tools.ietf.org/html/rfc7234#section-5.2.1.5

Unter bestimmten Umständen speichert IE6 Dateien auch dann zwischen, wenn sie Cache-Control: no-cachesich in den Antwortheadern befinden.

Die W3C-Staaten vonno-cache :

Wenn die Direktive ohne Cache keinen Feldnamen angibt, darf ein Cache die Antwort NICHT verwenden, um eine nachfolgende Anforderung ohne erfolgreiche erneute Validierung mit dem Ursprungsserver zu erfüllen.

Wenn Sie in meiner Anwendung eine Seite mit dem no-cacheHeader besucht, sich dann abgemeldet und dann in Ihrem Browser zurückgeschlagen haben, hat IE6 die Seite weiterhin aus dem Cache abgerufen (ohne eine neue / validierende Anforderung an den Server). Durch Hinzufügen des no-storeHeaders wurde dies gestoppt. Aber wenn Sie das W3C beim Wort nehmen, gibt es tatsächlich keine Möglichkeit, dieses Verhalten zu kontrollieren:

Verlaufspuffer KÖNNEN solche Antworten als Teil ihres normalen Betriebs speichern.

Allgemeine Unterschiede zwischen dem Browserverlauf und dem normalen HTTP-Caching werden in einem bestimmten Unterabschnitt der Spezifikation beschrieben .

Aus der HTTP 1.1-Spezifikation :

No-Store :

Der Zweck des No-StoreDie Richtlinie soll verhindern, dass vertrauliche Informationen versehentlich freigegeben oder aufbewahrt werden (z. B. auf Sicherungsbändern). Die No-Store-Direktive gilt für die gesamte Nachricht und kann entweder in einer Antwort oder in einer Anfrage gesendet werden. Wenn ein Cache in einer Anfrage gesendet wird, darf er weder einen Teil dieser Anfrage noch eine Antwort darauf speichern. Wenn eine Antwort gesendet wird, darf ein Cache KEINEN Teil dieser Antwort oder der Anforderung, die sie ausgelöst hat, speichern. Diese Anweisung gilt sowohl für nicht gemeinsam genutzte als auch für gemeinsam genutzte Caches. "DARF NICHT speichern" bedeutet in diesem Zusammenhang, dass der Cache die Informationen NICHT absichtlich im nichtflüchtigen Speicher speichern darf und nach besten Kräften versucht werden muss, die Informationen nach der Weiterleitung so schnell wie möglich aus dem flüchtigen Speicher zu entfernen. Auch wenn diese Richtlinie mit einer Antwort verbunden ist, Benutzer können eine solche Antwort explizit außerhalb des Caching-Systems speichern (z. B. mit einem Dialogfeld "Speichern unter"). Verlaufspuffer KÖNNEN solche Antworten als Teil ihres normalen Betriebs speichern. Der Zweck dieser Richtlinie besteht darin, die angegebenen Anforderungen bestimmter Benutzer und Dienstautoren zu erfüllen, die über versehentliche Freigaben von Informationen über unerwartete Zugriffe auf Cache-Datenstrukturen besorgt sind. Obwohl die Verwendung dieser Richtlinie in einigen Fällen die Privatsphäre verbessern kann, weisen wir darauf hin, dass dies in keiner Weise ein zuverlässiger oder ausreichender Mechanismus zur Gewährleistung der Privatsphäre ist. Insbesondere böswillige oder kompromittierte Caches erkennen diese Anweisung möglicherweise nicht oder befolgen sie nicht, und Kommunikationsnetzwerke sind möglicherweise anfällig für Abhören. Verlaufspuffer KÖNNEN solche Antworten als Teil ihres normalen Betriebs speichern. Der Zweck dieser Richtlinie besteht darin, die angegebenen Anforderungen bestimmter Benutzer und Dienstautoren zu erfüllen, die über versehentliche Freigaben von Informationen über unerwartete Zugriffe auf Cache-Datenstrukturen besorgt sind. Obwohl die Verwendung dieser Richtlinie in einigen Fällen die Privatsphäre verbessern kann, weisen wir darauf hin, dass dies in keiner Weise ein zuverlässiger oder ausreichender Mechanismus zur Gewährleistung der Privatsphäre ist. Insbesondere böswillige oder kompromittierte Caches erkennen diese Anweisung möglicherweise nicht oder befolgen sie nicht, und Kommunikationsnetzwerke sind möglicherweise anfällig für Abhören. Verlaufspuffer KÖNNEN solche Antworten als Teil ihres normalen Betriebs speichern. Der Zweck dieser Richtlinie besteht darin, die angegebenen Anforderungen bestimmter Benutzer und Dienstautoren zu erfüllen, die über versehentliche Freigaben von Informationen über unerwartete Zugriffe auf Cache-Datenstrukturen besorgt sind. Obwohl die Verwendung dieser Richtlinie in einigen Fällen die Privatsphäre verbessern kann, weisen wir darauf hin, dass dies in keiner Weise ein zuverlässiger oder ausreichender Mechanismus zur Gewährleistung der Privatsphäre ist. Insbesondere böswillige oder kompromittierte Caches erkennen diese Anweisung möglicherweise nicht oder befolgen sie nicht, und Kommunikationsnetzwerke sind möglicherweise anfällig für Abhören. Obwohl die Verwendung dieser Richtlinie in einigen Fällen die Privatsphäre verbessern kann, weisen wir darauf hin, dass dies in keiner Weise ein zuverlässiger oder ausreichender Mechanismus zur Gewährleistung der Privatsphäre ist. Insbesondere böswillige oder kompromittierte Caches erkennen diese Anweisung möglicherweise nicht oder befolgen sie nicht, und Kommunikationsnetzwerke sind möglicherweise anfällig für Abhören. Obwohl die Verwendung dieser Richtlinie in einigen Fällen die Privatsphäre verbessern kann, weisen wir darauf hin, dass dies in keiner Weise ein zuverlässiger oder ausreichender Mechanismus zur Gewährleistung der Privatsphäre ist. Insbesondere böswillige oder kompromittierte Caches erkennen diese Anweisung möglicherweise nicht oder befolgen sie nicht, und Kommunikationsnetzwerke sind möglicherweise anfällig für Abhören.

Wenn Sie jegliches Caching verhindern möchten (z. B. ein erneutes Laden erzwingen, wenn Sie die Zurück-Taste verwenden), benötigen Sie:

• Kein Cache für IE

• No-Store für Firefox

Hier gibt es meine Informationen dazu:

http://blog.httpwatch.com/2008/10/15/two-important-differences-between-firefox-and-ie-caching/

no-storesollte in normalen Situationen nicht erforderlich sein und kann sowohl die Geschwindigkeit als auch die Benutzerfreundlichkeit beeinträchtigen. Es ist für die Verwendung vorgesehen, bei der die HTTP-Antwort Informationen enthält, die so vertraulich sind, dass sie niemals in einen Festplatten-Cache geschrieben werden sollten, unabhängig von den negativen Auswirkungen, die für den Benutzer entstehen.

Wie es funktioniert:

• Selbst wenn ein Benutzeragent wie ein Browser feststellt, dass eine Antwort nicht zwischengespeichert werden soll, wird sie normalerweise aus internen Gründen des Benutzeragenten im Festplatten-Cache gespeichert. Diese Version kann für Funktionen wie "Quelltext anzeigen", "Zurück", "Seiteninformationen" usw. verwendet werden, bei denen der Benutzer die Seite nicht unbedingt erneut angefordert hat, der Browser sie jedoch nicht als neue Seitenansicht betrachtet und es wäre sinnvoll, dieselbe Version bereitzustellen, die der Benutzer gerade anzeigt.

• Durch no-storedie Verwendung wird verhindert, dass diese Antwort gespeichert wird. Dies kann sich jedoch auf die Fähigkeit des Browsers auswirken, "Quelltext anzeigen", "Zurück", "Seiteninformationen" usw. anzugeben, ohne eine neue, separate Anforderung für den Server zu stellen, was unerwünscht ist. Mit anderen Worten, der Benutzer versucht möglicherweise, die Quelle anzuzeigen. Wenn der Browser sie nicht im Speicher aufbewahrt, wird ihm entweder mitgeteilt, dass dies nicht möglich ist, oder es wird eine neue Anforderung an den Server gesendet. Daher no-storesollte nur verwendet werden, wenn die eingeschränkte Benutzererfahrung dieser Funktionen, die nicht ordnungsgemäß oder schnell funktioniert, durch die Wichtigkeit aufgewogen wird, sicherzustellen, dass Inhalte nicht im Cache gespeichert werden.

Mein derzeitiges Verständnis ist, dass es nur für Zwischen-Cache-Server ist. Selbst wenn "kein Cache" antwortet, kann der Zwischen-Cache-Server den Inhalt dennoch in einem nichtflüchtigen Speicher speichern.

Das ist falsch. Zwischen-Cache-Server, die mit HTTP 1.1 kompatibel sind, befolgen die Anweisungen no-cacheund must-revalidateund stellen sicher, dass der Inhalt nicht zwischengespeichert wird. Durch die Verwendung dieser Anweisungen wird sichergestellt, dass die Antwort nicht von einem Zwischencache zwischengespeichert wird und dass alle nachfolgenden Anforderungen an den Ursprungsserver zurückgesendet werden.

Wenn der Zwischen-Cache-Server HTTP 1.1 nicht unterstützt, müssen Sie Pragma: no-cachedas Beste verwenden und darauf hoffen. Beachten Sie, dass HTTP 1.1 no-storeohnehin irrelevant ist , wenn es nicht unterstützt wird.

Wenn ein Caching-System No-Store korrekt implementiert, benötigen Sie keinen No-Cache. Aber nicht alle tun es. Darüber hinaus implementieren einige Browser No-Cache, als wäre es No-Store. Obwohl dies nicht unbedingt erforderlich ist, ist es wahrscheinlich am sichersten, beide einzuschließen.

Beachten Sie, dass Internet Explorer von Version 5 bis 8 einen Fehler auslöst, wenn Sie versuchen, eine Datei herunterzuladen, die über https und die vom Server gesendeten Cache-Control: no-cacheoder Pragma: no-cacheHeader bereitgestellt wird .

Siehe http://support.microsoft.com/kb/812935/en-us

Die Verwendung von Cache-Control: no-storeund Pragma: privatescheint das Nächste zu sein, was noch funktioniert.

Bei Chrome wird No-Cache verwendet, um die Seite bei einem erneuten Besuch neu zu laden. Sie wird jedoch weiterhin zwischengespeichert, wenn Sie in den Verlauf zurückkehren (Schaltfläche "Zurück"). Verwenden Sie no-store, um die Seite auch für den Verlauf zurückzuladen. IE muss erneut validiert werden, um in allen Fällen funktionieren zu können.

Nur um sicherzugehen, dass ich alle Fehler und Fehlinterpretationen vermeide, die ich immer benutze

Cache-Control: no-store, no-cache, must-revalidate

wenn ich sicherstellen will, dass es neu geladen wird.

Ursprünglich haben wir vor vielen Jahren No-Cache verwendet und sind mit bestimmten Browsern auf einige Probleme mit veralteten Inhalten gestoßen ... Erinnern Sie sich leider nicht an die Einzelheiten.

Wir hatten uns seitdem NUR für die Nutzung von No-Store entschieden. Habe seitdem nie mehr zurückgeschaut oder hatte ein einziges Problem mit veralteten Inhalten durch einen Browser oder Vermittler.

Dieser Raum wird sicherlich von der Realität der Implementierungen im Vergleich zu dem, was zufällig in verschiedenen RFCs geschrieben wurde, dominiert. Insbesondere viele Proxies neigen dazu zu glauben, dass sie die Leistung besser verbessern können, indem sie die Richtlinien, die sie befolgen sollen, durch ihre eigenen ersetzen.

Um die Sache noch schlimmer zu machen, kann in manchen Situationen kein Cache verwendet werden, aber kein Speicher kann:

http://faindu.wordpress.com/2008/04/18/ie7-ssl-xml-flex-error-2032-stream-error/

OWASP diskutiert dies:

Was ist der Unterschied zwischen den Cache-Steueranweisungen: No-Cache und No-Store?

Die No-Cache-Direktive in einer Antwort gibt an, dass die Antwort nicht zur Zustellung einer nachfolgenden Anforderung verwendet werden darf, dh der Cache darf keine Antwort anzeigen, für die diese Anweisung im Header festgelegt ist, sondern muss den Server die Anforderung bedienen lassen. Die No-Cache-Direktive kann einige Feldnamen enthalten. In diesem Fall kann die Antwort aus dem Cache angezeigt werden, mit Ausnahme der angegebenen Feldnamen, die vom Server bereitgestellt werden sollen. Die No-Store-Direktive gilt für die gesamte Nachricht und gibt an, dass der Cache keinen Teil der Antwort oder Anforderung, die danach gefragt hat, speichern darf.

Bin ich mit diesen Richtlinien absolut sicher?

Nein. Verwenden Sie jedoch im Allgemeinen sowohl Cache-Control: No-Cache, No-Store als auch Pragma: No-Cache, zusätzlich zu Expires: 0 (oder einem ausreichend rückwirkenden GMT-Datum wie der UNIX-Epoche). Nicht-HTML-Inhaltstypen wie PDF, Word-Dokumente, Excel-Tabellen usw. werden häufig zwischengespeichert, selbst wenn die oben genannten Cache-Steueranweisungen festgelegt sind (obwohl dies je nach Version und zusätzlicher Verwendung von must-revalidate, pre-check = 0, post-check unterschiedlich ist = 0, max-age = 0 und s-maxage = 0 können in der Praxis manchmal zumindest zum Löschen von Dateien beim Schließen des Browsers führen, in einigen Fällen aufgrund von Browser-Macken und HTTP-Implementierungen. Mit der Funktion "Autocomplete" kann ein Browser außerdem alles zwischenspeichern, was der Benutzer in ein Eingabefeld eines Formulars eingibt. Um dies zu überprüfen, sollte das Formular-Tag oder die einzelnen Eingabe-Tags das Attribut 'Autocomplete = "Off"' enthalten. Jedoch,

Quelle hier .