[Web 开发]对含有用户数据的页面，有多少人是不设 Cache-Control, Expires 头部的？

[lhbc]

最近碰到不少站，验证码、个人资料等含有用户数据的页面都没有 Cache-Control, Expires 这些头部。
这些站不怕被 ISP 缓存的吗？

[shiny]

个人资料旧点也没有关系吧，验证码 url 基本都附加随机字符串防擦车

[lhbc]

@shiny 我想讨论的不是浏览器行为，是服务器到浏览器中间可能存在的设备产生的影响，比如 CDN 或者某些运营商的缓存系统，如果设置不合理，可能会产生串号，用户漫游等情况。

[jybox]

从理论上来讲（参考 ）， Cache-Control 的默认值是 Cache-Control: must-revalidate, private ，本来作为代理和缓存服务器就不应该缓存；从实践上来讲，如果一个代理或缓存服务器连最基本的「默认行为」都不尊重，你加了 Cache-Control 它也不见得会遵守。

[jybox]

参考 https://www.w3.org/Protocols/rfc2616/rfc2616-sec13.html