Mengapa no-cache dan no-store harus digunakan dalam respons HTTP?

Saya diberitahu untuk mencegah bocornya info pengguna, hanya "tanpa cache" sebagai tanggapan tidak cukup. "tidak ada toko" juga diperlukan.

Cache-Control: no-cache, no-store

Setelah membaca spesifikasi ini http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html , saya masih belum yakin mengapa.

Pemahaman saya saat ini adalah bahwa ini hanya untuk server cache perantara. Meskipun "tanpa cache" sebagai respons, server cache perantara masih dapat menyimpan konten ke penyimpanan non-volatile. Server cache perantara akan memutuskan apakah menggunakan konten yang disimpan untuk permintaan berikut. Namun, jika "no-store" adalah responsnya, server cache perantara tidak seharusnya menyimpan konten. Jadi, ini lebih aman.

Apakah ada alasan lain mengapa kita membutuhkan "no-cache" dan "no-store"?

Saya harus menjelaskan itu no-cachetidak berarti tidak menyimpan . Faktanya, ini berarti "validasi ulang dengan server" sebelum menggunakan respons cache apa pun yang mungkin Anda miliki, pada setiap permintaan.

must-revalidate, di sisi lain, hanya perlu melakukan validasi ulang jika resource dianggap sudah usang.

Jika server mengatakan bahwa sumber daya masih valid maka cache dapat merespons dengan representasinya, sehingga mengurangi kebutuhan server untuk mengirim ulang seluruh sumber daya.

no-storesecara efektif penuh tidak direktif cache dan dimaksudkan untuk mencegah penyimpanan representasi dalam bentuk cache apa pun.

Saya mengatakan apa pun, tetapi perhatikan ini di spesifikasi HTTP RFC 2616:

Buffer riwayat MUNGKIN menyimpan respons seperti itu sebagai bagian dari operasi normalnya

Tetapi ini dihilangkan dari spesifikasi HTTP RFC 7234 yang lebih baru dalam upaya untuk membuatnya no-storelebih kuat, lihat:

http://tools.ietf.org/html/rfc7234#section-5.2.1.5

Dalam keadaan tertentu, IE6 akan tetap menyimpan file meskipun Cache-Control: no-cacheberada di header respons.

The W3C menyatakan darino-cache :

Jika perintah no-cache tidak menetapkan nama-kolom, cache TIDAK HARUS menggunakan respons untuk memenuhi permintaan berikutnya tanpa validasi ulang yang berhasil dengan server asal.

Dalam aplikasi saya, jika Anda mengunjungi halaman dengan no-cacheheader, kemudian keluar dan kemudian menekan kembali di browser Anda, IE6 masih akan mengambil halaman dari cache (tanpa permintaan baru / validasi ke server). Menambahkan no-storeheader akan menghentikannya. Tetapi jika Anda menerima kata-kata W3C, sebenarnya tidak ada cara untuk mengontrol perilaku ini:

Buffer riwayat MUNGKIN menyimpan respons seperti itu sebagai bagian dari operasi normalnya.

Perbedaan umum antara riwayat browser dan cache HTTP normal dijelaskan dalam sub-bagian spesifik spesifikasi .

Dari spesifikasi HTTP 1.1 :

tidak ada toko :

Tujuan dari tidak adanya tokoarahannya adalah untuk mencegah pelepasan atau penyimpanan informasi sensitif secara tidak sengaja (misalnya, pada kaset cadangan). Perintah no-store berlaku untuk seluruh pesan, dan DAPAT dikirim baik sebagai tanggapan atau permintaan. Jika dikirim dalam permintaan, cache TIDAK HARUS menyimpan bagian mana pun dari permintaan ini atau respons apa pun terhadapnya. Jika dikirim sebagai tanggapan, cache TIDAK HARUS menyimpan bagian mana pun dari tanggapan ini atau permintaan yang memicunya. Petunjuk ini berlaku untuk cache yang tidak dibagikan dan bersama. "HARUS TIDAK disimpan" dalam konteks ini berarti bahwa cache TIDAK HARUS dengan sengaja menyimpan informasi dalam penyimpanan non-volatile, dan HARUS melakukan upaya terbaik untuk menghapus informasi dari penyimpanan volatile secepat mungkin setelah meneruskannya. Meskipun arahan ini dikaitkan dengan respons, pengguna mungkin secara eksplisit menyimpan respons seperti itu di luar sistem cache (mis., dengan dialog "Simpan Sebagai"). Buffer riwayat MUNGKIN menyimpan respons seperti itu sebagai bagian dari operasi normalnya. Tujuan dari arahan ini adalah untuk memenuhi persyaratan pengguna dan pembuat layanan tertentu yang prihatin tentang rilis informasi yang tidak disengaja melalui akses tak terduga ke struktur data cache. Meskipun penggunaan petunjuk ini mungkin meningkatkan privasi dalam beberapa kasus, kami mengingatkan bahwa ini BUKAN merupakan mekanisme yang andal atau memadai untuk memastikan privasi. Secara khusus, cache yang berbahaya atau disusupi mungkin tidak mengenali atau mematuhi arahan ini, dan jaringan komunikasi mungkin rentan terhadap penyadapan. Buffer riwayat MUNGKIN menyimpan respons seperti itu sebagai bagian dari operasi normalnya. Tujuan dari arahan ini adalah untuk memenuhi persyaratan pengguna dan pembuat layanan tertentu yang prihatin tentang rilis informasi yang tidak disengaja melalui akses tak terduga ke struktur data cache. Meskipun penggunaan petunjuk ini mungkin meningkatkan privasi dalam beberapa kasus, kami mengingatkan bahwa ini BUKAN merupakan mekanisme yang andal atau memadai untuk memastikan privasi. Secara khusus, cache yang berbahaya atau disusupi mungkin tidak mengenali atau mematuhi arahan ini, dan jaringan komunikasi mungkin rentan terhadap penyadapan. Buffer riwayat MUNGKIN menyimpan respons seperti itu sebagai bagian dari operasi normalnya. Tujuan dari arahan ini adalah untuk memenuhi persyaratan pengguna dan pembuat layanan tertentu yang prihatin tentang rilis informasi yang tidak disengaja melalui akses tak terduga ke struktur data cache. Meskipun penggunaan petunjuk ini mungkin meningkatkan privasi dalam beberapa kasus, kami mengingatkan bahwa ini BUKAN merupakan mekanisme yang andal atau memadai untuk memastikan privasi. Secara khusus, cache yang berbahaya atau disusupi mungkin tidak mengenali atau mematuhi arahan ini, dan jaringan komunikasi mungkin rentan terhadap penyadapan. Meskipun penggunaan petunjuk ini mungkin meningkatkan privasi dalam beberapa kasus, kami mengingatkan bahwa ini BUKAN merupakan mekanisme yang andal atau memadai untuk memastikan privasi. Secara khusus, cache yang berbahaya atau disusupi mungkin tidak mengenali atau mematuhi arahan ini, dan jaringan komunikasi mungkin rentan terhadap penyadapan. Meskipun penggunaan petunjuk ini mungkin meningkatkan privasi dalam beberapa kasus, kami mengingatkan bahwa ini BUKAN merupakan mekanisme yang andal atau memadai untuk memastikan privasi. Secara khusus, cache yang berbahaya atau disusupi mungkin tidak mengenali atau mematuhi arahan ini, dan jaringan komunikasi mungkin rentan terhadap penyadapan.

Jika Anda ingin mencegah semua caching (mis. Memaksa memuat ulang saat menggunakan tombol kembali) Anda perlu:

• tanpa-cache untuk IE

• tidak ada toko untuk Firefox

Ada informasi saya tentang ini di sini:

http://blog.httpwatch.com/2008/10/15/two-important-differences-between-firefox-and-ie-caching/

no-storeseharusnya tidak diperlukan dalam situasi normal, dan dapat merusak kecepatan dan kegunaan. Ini ditujukan untuk penggunaan di mana respons HTTP berisi informasi yang sangat sensitif sehingga tidak boleh ditulis ke cache disk sama sekali, terlepas dari efek negatif yang ditimbulkan bagi pengguna.

Bagaimana itu bekerja:

• Biasanya, meskipun agen pengguna seperti browser menentukan bahwa respons tidak boleh disimpan dalam cache, ia mungkin masih menyimpannya ke cache disk karena alasan internal agen pengguna. Versi ini dapat digunakan untuk fitur seperti "lihat sumber", "kembali", "info halaman", dan seterusnya, di mana pengguna tidak perlu meminta halaman lagi, tetapi browser tidak menganggapnya sebagai tampilan halaman baru dan akan masuk akal untuk menyajikan versi yang sama dengan yang sedang dilihat pengguna.

• Menggunakan no-storeakan mencegah respons tersebut disimpan, tetapi ini dapat memengaruhi kemampuan browser untuk memberikan "sumber tampilan", "kembali", "info halaman", dan seterusnya tanpa membuat permintaan baru yang terpisah untuk server, yang tidak diinginkan. Dengan kata lain, pengguna dapat mencoba melihat sumber dan jika browser tidak menyimpannya dalam memori, mereka akan diberitahu bahwa ini tidak mungkin, atau itu akan menyebabkan permintaan baru ke server. Oleh karena itu, no-storesebaiknya hanya digunakan ketika pengalaman pengguna yang terhambat dari fitur-fitur ini tidak berfungsi dengan baik atau cepat dibandingkan dengan pentingnya memastikan konten tidak disimpan dalam cache.

Pemahaman saya saat ini adalah bahwa ini hanya untuk server cache perantara. Meskipun "tanpa cache" sebagai respons, server cache perantara masih dapat menyimpan konten ke penyimpanan non-volatile.

Ini salah Server cache perantara yang kompatibel dengan HTTP 1.1 akan mematuhi instruksi no-cachedan must-revalidate, memastikan bahwa konten tidak di-cache. Menggunakan petunjuk ini akan memastikan bahwa respons tidak di-cache oleh cache perantara mana pun, dan bahwa semua permintaan berikutnya dikirim kembali ke server asal.

Jika server cache perantara tidak mendukung HTTP 1.1, maka Anda perlu menggunakan Pragma: no-cachedan berharap yang terbaik. Perhatikan bahwa jika tidak mendukung HTTP 1.1 maka no-storeitu tidak relevan.

Jika sistem caching mengimplementasikan no-store dengan benar, Anda tidak memerlukan no-cache. Tapi tidak semua melakukannya. Selain itu, beberapa browser menerapkan tanpa cache seperti tidak ada penyimpanan. Jadi, meskipun tidak diwajibkan secara ketat, mungkin paling aman untuk menyertakan keduanya.

Perhatikan bahwa Internet Explorer dari versi 5 hingga 8 akan membuat kesalahan saat mencoba mengunduh file yang disajikan melalui https dan server pengirim Cache-Control: no-cacheatau Pragma: no-cacheheader.

Lihat http://support.microsoft.com/kb/812935/en-us

Penggunaan Cache-Control: no-storedan Pragma: privatetampaknya menjadi hal terdekat yang masih berfungsi.

Untuk chrome, no-cache digunakan untuk memuat ulang halaman pada kunjungan ulang, tetapi masih menyimpan cache jika Anda kembali ke sejarah (tombol kembali). Untuk memuat ulang halaman untuk sejarah-kembali juga, gunakan no-store. IE perlu melakukan validasi ulang agar berfungsi di semua kesempatan.

Jadi untuk memastikan untuk menghindari semua bug dan salah tafsir yang selalu saya gunakan

Cache-Control: no-store, no-cache, must-revalidate

jika saya ingin memastikannya dimuat ulang.

Awalnya kami menggunakan no-cache beberapa tahun yang lalu dan mengalami beberapa masalah dengan konten basi dengan browser tertentu ... Sayangnya, sayangnya tidak ingat secara spesifik.

Kami sejak itu memutuskan HANYA penggunaan no-store. Tidak pernah melihat ke belakang atau mengalami satu masalah pun dengan konten usang oleh browser atau perantara mana pun sejak saat itu.

Ruang ini tentu saja didominasi oleh realitas implementasi vs apa yang kebetulan telah ditulis di berbagai RFC. Banyak proxy khususnya cenderung berpikir bahwa mereka melakukan pekerjaan yang lebih baik dalam "meningkatkan kinerja" dengan mengganti kebijakan yang seharusnya mereka ikuti dengan kebijakan mereka sendiri.

Hanya untuk memperburuk keadaan, dalam beberapa situasi, no-cache tidak dapat digunakan, tetapi no-store dapat:

http://faindu.wordpress.com/2008/04/18/ie7-ssl-xml-flex-error-2032-stream-error/

OWASP membahas ini:

Apa perbedaan antara perintah cache-control: no-cache, dan no-store?

Direktif no-cache dalam respon menunjukkan bahwa respon tidak boleh digunakan untuk melayani permintaan berikutnya yaitu cache tidak boleh menampilkan respon yang direktif ini disetel di header tetapi harus membiarkan server melayani permintaan tersebut. Direktif no-cache dapat menyertakan beberapa nama field; dalam hal ini respons dapat ditampilkan dari cache kecuali untuk nama bidang yang ditentukan yang harus disajikan dari server. Perintah no-store berlaku untuk seluruh pesan dan menunjukkan bahwa cache tidak boleh menyimpan bagian mana pun dari respons atau permintaan apa pun yang memintanya.

Apakah saya benar-benar aman dengan arahan ini?

Tidak. Tapi secara umum, gunakan Cache-Control: no-cache, no-store dan Pragma: no-cache, selain Expires: 0 (atau tanggal GMT yang cukup mundur seperti epoch UNIX). Jenis konten non-html seperti pdf, dokumen word, spreadsheet excel, dll sering di-cache bahkan ketika arahan kontrol cache di atas disetel (meskipun ini bervariasi menurut versi dan penggunaan tambahan must-revalidate, pre-check = 0, post-check = 0, max-age = 0, dan s-maxage = 0 dalam praktiknya terkadang dapat mengakibatkan setidaknya penghapusan file saat browser ditutup dalam beberapa kasus karena kebiasaan browser dan implementasi HTTP). Selain itu, fitur 'Autocomplete' memungkinkan browser untuk menyimpan cache apa pun yang diketik pengguna di kolom input formulir. Untuk memeriksanya, tag formulir atau tag masukan individu harus menyertakan atribut 'Autocomplete = "Off"'. Namun,

Sumber di sini .