Nginx反向代理Odoo时303响应缓存导致请求头缺失问题排查

数据老陈

2026-8-26

问题根因

两个核心配置错误直接导致故障：

正则location匹配顺序错误：Nginx中带~修饰符的正则类型location块，按配置文件书写顺序从上到下匹配，匹配到第一个符合规则的块后立即终止匹配。你将泛匹配^/web/的块写在最前面，导致后面更精确的放行规则块永远不会被命中，所有/web开头的请求全部落入带IP限制的第一个location块，预期的公共路由放行动效完全未生效。
缓存规则配置错误：两个location块中都写了expires 864000;，该配置会给所有匹配路径的响应（包括/web/session/logout返回的303重定向）添加Cache-Control: max-age=864000（有效期100天）的强缓存头。浏览器收到该头后会直接将303响应存入本地缓存，后续触发注销操作时不会再向服务器发送请求，直接读取本地缓存的跳转响应，服务端的会话注销逻辑自然无法执行。

排查步骤

配置校验：执行nginx -T打印完整生效配置，确认location块的顺序和内容符合预期。
响应头校验：用curl -v https://你的域名/web/session/logout发起请求，查看返回的响应头：
- 若响应头中存在Cache-Control: max-age=864000，即可确认超长缓存规则错误作用到了注销接口
- 若非白名单IP访问预期放行的公共路由（如/web/login）返回403，即可确认正则匹配顺序错误，放行块未生效
缓存验证测试：临时注释掉两个location块中的expires 864000;配置，重载Nginx后测试注销功能，若故障消失即可确认缓存配置为直接诱因。注意测试前需要清空浏览器中对应域名的已有缓存，避免旧缓存影响结果。

修复方案

调整location块顺序：将更精确的公共路由匹配块移到泛匹配的IP拦截块前面，保证正则匹配优先命中精确规则。
拆分缓存规则，禁止动态接口被强缓存：
- 静态资源路径（static、content、image）可保留长缓存配置，这类资源内容固定不会随用户状态变化
- 所有动态路径（session、login、action、webclient及其他受IP限制的管理路径）必须禁用强缓存，强制浏览器每次请求都回源校验
显式为动态接口添加强制不缓存的响应头，避免后端返回的缓存头覆盖配置。

修正后的参考配置如下：

# 1. 公共静态资源：所有用户可访问，配置长缓存
location ~ ^\/web\/(content\/|static\/|image\/) {
    add_header Content-Security-Policy upgrade-insecure-requests;
    add_header Cache-Control "public, max-age=864000" always;
    proxy_pass  http://odoo-xxx-test;
    proxy_cache_valid 200 60m;
    proxy_buffering on;
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    expires 864000;
}

# 2. 公共动态路由：所有用户可访问，完全禁用缓存
location ~ ^\/web\/(action\/|login|session\/|webclient\/) {
    add_header Content-Security-Policy upgrade-insecure-requests;
    add_header Cache-Control "no-cache, no-store, must-revalidate" always;
    proxy_pass  http://odoo-xxx-test;
    proxy_buffering on;
    # 动态接口关闭Nginx代理缓存
    # proxy_cache_valid 200 60m;
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    expires -1;
}

# 3. 其余/web开头路由：仅白名单IP可访问，完全禁用缓存
location ~ ^/web/ {
    add_header Content-Security-Policy upgrade-insecure-requests;
    add_header Cache-Control "no-cache, no-store, must-revalidate" always;
    proxy_pass  http://odoo-xxx-test;
    proxy_buffering on;
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    expires -1;
    allow *some ip* ;
    allow *some ip* ;
    allow *some ip* ;
    deny all;
}

上线后验证

执行nginx -t检查配置语法，确认无误后执行nginx -s reload重载配置。
用非白名单IP测试：访问/web/login、/web/static/下的静态资源应正常返回200，访问/web下不在公共路由列表的路径应返回403。
测试注销功能：打开浏览器开发者工具，勾选网络面板的「禁用缓存」选项，点击注销按钮，确认请求正常发送到服务端，会话被正常销毁，响应头中Cache-Control为no-cache, no-store, must-revalidate。
通知测试用户清理对应域名的浏览器缓存，避免本地旧的303缓存影响正常使用。

内容的提问来源于stack exchange，提问作者Omercier