已用nocache中间件仍浏览器缓存页面？Node.js Express会话问题求解

问题背景 #

我是一名使用Node.js Express开发小型用户管理项目的新手。已实现会话处理，全局使用了nocache中间件，登录时创建会话（req.session.user = userData），登出时销毁会话，代码如下：

req.session.destroy(function(err) {
    if(err) {
        console.log(err);
        res.send(err);
    }
    else {
        res.redirect("/login?logout=Logout Successfully...");
    }
});

但登出后点击浏览器后退按钮，仍能返回已销毁会话对应的页面，请问这是什么原因，该如何解决？

原因分析 #

• 浏览器本地缓存：nocache中间件仅设置响应头阻止服务器端缓存，但浏览器可能已将页面缓存到本地，后退时直接读取本地缓存，不会向服务器发起请求，导致会话校验逻辑完全不触发。
• 页面缺乏主动校验：即便浏览器缓存了页面，如果页面加载时没有主动校验当前会话状态（比如前端发起请求检查登录状态、页面渲染前判断会话有效性），浏览器展示缓存页面时无法感知会话已销毁。

解决方法 #

1. 强化缓存控制规则

除了nocache中间件，手动添加更严格的缓存控制头，确保浏览器不缓存敏感页面。可以针对需要权限的路由单独设置，也可以全局配置：

// 全局针对敏感路径设置缓存控制
app.use(['/dashboard', '/profile'], (req, res, next) => {
    res.setHeader('Cache-Control', 'no-cache, no-store, must-revalidate');
    res.setHeader('Pragma', 'no-cache');
    res.setHeader('Expires', '0');
    next();
});

2. 前端页面添加会话校验

在每个需要登录才能访问的页面加载时，主动向服务器发起请求校验会话状态，一旦发现会话已销毁则跳转登录页：

// 前端页面脚本
window.addEventListener('load', function() {
    fetch('/api/check-session')
        .then(res => res.json())
        .then(data => {
            if (!data.isLoggedIn) {
                window.location.href = '/login';
            }
        })
        .catch(() => {
            window.location.href = '/login';
        });
});

对应的后端校验接口：

app.get('/api/check-session', (req, res) => {
    res.json({ isLoggedIn: !!req.session.user });
});

3. 严格路由权限校验

确保所有需要登录的路由都挂载会话校验中间件，即使用户通过缓存页面进入，刷新或重新请求时服务器会直接拦截：

// 权限校验中间件
function requireAuth(req, res, next) {
    if (req.session.user) {
        return next();
    }
    res.redirect('/login?error=请先登录');
}

// 给需要权限的路由应用中间件
app.get('/dashboard', requireAuth, (req, res) => {
    res.render('dashboard');
});

内容的提问来源于stack exchange，提问作者Uvais