Java Servlet配置noCache缓存控制失效 登出后点浏览器后退仍可返回站点

常见失效原因 #

• 缓存头仅作用于登出接口响应，未覆盖所有需要登录权限的内部页面响应：你当前的noCache方法需要在所有受保护的内部页面/接口的响应返回前调用，仅在登出接口调用无法修改历史页面的缓存规则。
• 未禁用浏览器往返缓存（bfcache）：部分浏览器的回退行为会直接读取bfcache快照，绕过标准HTTP缓存校验规则，仅靠上述响应头无法完全覆盖。
• 登出逻辑未彻底销毁服务端会话：若仅清除前端Cookie而未调用session.invalidate()销毁服务端会话，即使用户回退，旧的会话凭证依然有效，访问接口还会正常返回。

修复步骤 #

1. 全局配置受保护资源的缓存头 #

不要单独在每个接口调用noCache方法，改用Servlet Filter统一为所有需要登录权限的资源添加缓存头，示例代码：

import javax.servlet.*;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class NoCacheFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.setHeader("Cache-Control", "no-cache, no-store, must-revalidate");
        httpResponse.setHeader("Pragma", "no-cache");
        httpResponse.setDateHeader("Expires", 0);
        chain.doFilter(request, response);
    }
}

在web.xml中配置该Filter拦截所有受保护的路径，比如/user/*、/dashboard/*等权限路径。

2. 兼容浏览器bfcache场景 #

在所有内部页面添加以下JS代码，监听页面回退加载事件，主动校验登录状态：

window.addEventListener('pageshow', function(e) {
    // e.persisted为true说明页面是从bfcache加载的
    if (e.persisted) {
        // 发起轻量请求校验当前用户登录状态，比如请求/getLoginStatus接口
        fetch('/api/getLoginStatus', { credentials: 'include' })
            .then(res => {
                if (res.status === 401) {
                    // 未登录跳转到登录页
                    window.location.href = '/login';
                }
            });
    }
});

3. 完善登出逻辑 #

登出时必须销毁服务端会话，示例代码：

// 登出接口逻辑
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    HttpSession session = request.getSession(false);
    if (session != null) {
        // 销毁服务端会话
        session.invalidate();
    }
    // 清除登录相关Cookie
    Cookie cookie = new Cookie("JSESSIONID", null);
    cookie.setMaxAge(0);
    cookie.setPath("/");
    response.addCookie(cookie);
    // 跳转到登录页
    response.sendRedirect("/login");
}

4. 补充服务端权限校验 #

所有需要登录权限的接口，都要先校验当前会话是否有效，若会话已失效直接返回401状态码，避免缓存页面发起操作时还能正常响应。

内容的提问来源于stack exchange，提问作者Jimmy Y