升级play-pac4j至12.0.2后Cache-Control头被覆盖问题咨询

1. 为何要强制设置这些响应头？ #

这是出于安全防护的核心考虑：带用户会话信息的敏感页面（比如登录后的个人中心、后台管理页）如果被浏览器或中间代理缓存，后续其他用户可能通过浏览器历史或缓存文件访问到这些敏感内容。no-cache, no-store, max-age=0, must-revalidate这个配置严格禁止缓存，符合OWASP的安全缓存最佳实践，能有效避免这类信息泄露风险。

2. 未排除.svg、.pdf等文件类型的原因是什么？ #

play-pac4j的默认CacheControlMatcher采用了保守策略：只排除了最通用的静态资源类型（.css/.js/.png等），这类资源通常不包含敏感信息。而.svg、.pdf这类文件，可能被用于生成带用户专属内容的文件（比如带个人信息的PDF报告、定制化SVG图标），默认配置认为这类文件存在敏感风险，所以没有直接加入排除列表；另外也可能是版本迭代时的功能遗漏，默认配置未覆盖到这类日益常用的资源类型。

3. 如何阻止自定义响应头被修改？ #

有三种可行方案：

• 扩展默认匹配器：自定义一个CustomCacheControlMatcher继承原CacheControlMatcher，重写exclude方法，把.svg、.pdf等需要排除的类型添加进去，然后在pac4j的配置类中替换默认的匹配器实例。

  public class CustomCacheControlMatcher extends CacheControlMatcher {
      @Override
      protected boolean exclude(final WebContext context) {
          String path = context.getPath();
          return super.exclude(context) || path.endsWith(".svg") || path.endsWith(".pdf");
      }
  }
  

  之后在配置中设置：config.addMatcher("cacheControl", new CustomCacheControlMatcher());
• 后置过滤器重写响应头：在Play框架中添加一个自定义Filter，确保它在pac4j的过滤器之后执行，在过滤器中重新设置你需要的Cache-Control响应头，覆盖pac4j的设置。
• 禁用默认缓存控制匹配器：如果你的场景不需要pac4j管控缓存，可以直接从pac4j的配置中移除CacheControlMatcher的相关配置，这样就不会触发默认的缓存头覆盖逻辑。

内容的提问来源于stack exchange，提问作者EwanthaUdagamaPronto