Moodle 3.7.1登出后认证页面被浏览器缓存的解决方法咨询

现有缓存规则cache-control: private, pre-check=0, post-check=0, max-age=0, no-transform仅为旧版IE兼容配置，缺少Chrome对动态认证页面的强制不缓存判定字段：

• 规则中max-age=0仅要求资源访问时需做有效性校验，未禁止浏览器在本地私有会话缓存中存储完整的页面响应内容
• Chrome对private标记的缓存资源，会在用户登出清除Cookie后，直接从本地缓存调取历史响应，不会发起服务端身份校验请求，最终导致敏感资料泄露，即使手动刷新也不会触发完整的服务端校验流程

1. 修正全局认证页面的缓存头规则 #

Moodle 3.7.1 所有动态页面的公共响应头初始化逻辑，集中在lib/setup.php文件中，定位到约2050行附近的原有缓存头发送代码：

原默认代码：
header('Cache-Control: private, pre-check=0, post-check=0, max-age=0, no-transform');

将该段代码替换为带强制不缓存规则的配置：

header('Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0, max-age=0, no-transform');
header('Pragma: no-cache');
header('Expires: 0');

配置说明：

• no-store是Chrome判定完全不存储页面任何内容的核心指令，会从根源上杜绝本地缓存留存已认证页面副本
• no-cache, must-revalidate确保即使存在旧缓存，也必须携带最新的会话Cookie发起服务端校验
• 补加的Pragma: no-cache、Expires: 0用于兼容所有主流浏览器的缓存判定逻辑

2. 个人主页的专项身份拦截 #

为避免极端场景下缓存泄露，在user/profile.php页面的初始化逻辑中补加身份校验：
在引入Moodle全局配置文件（require_once(__DIR__ . '/../config.php');）后，定位到原有游客访问权限判断的代码块，新增逻辑：

• 当当前会话为游客状态（$USER->id == 0），且访问的是带有效用户ID的个人主页链接时，直接跳转到登录页，不执行任何用户资料的查询、渲染逻辑
• 完全关闭游客对非公开用户资料的访问入口，避免未登录状态下的内容返回

3. 配置生效验证 #

1. 修改完成后，进入Moodle「站点管理 > 开发 > 清除所有缓存」，清空全局缓存
2. 按以下流程在Chrome中测试：
   • 登录目标账号，打开user/profile.php?id=5560个人主页，确认页面正常加载
   • 完成正常登出操作，等待跳转到登出完成页
   • 在地址栏直接输入原个人主页URL，按下回车，观察：
     • 响应头中已包含no-store, no-cache字段
     • 页面直接跳转登录页，不会加载任何历史存储的个人资料内容
     • 手动刷新页面，确认不存在本地缓存调取的情况

内容的提问来源于stack exchange，提问作者vrkmajeti