Кратко

  • Свежесть HTTP — правило повторного использования, а не решение об авторизации.
  • Чувствительная выдача требует связи кэша с действующим полномочием.

Сервер-источник отзывает право и убирает материал, однако общий кэш до конца срока актуальности продолжает выдавать копию и называет каждый ответ новым одобрением. Метаданные могут соблюдаться, а вывод аудита — быть ложным.

RFC 9111 определяет возраст ответа, срок его актуальности, валидацию и правила хранения ответов на запросы с учётными данными. Такие ответы можно сохранять лишь при явном разрешении в директивах ответа; оно регулирует работу кэша, но не пересматривает права пользователя. 304 Not Modified позволяет повторно использовать сохранённое представление, ничего не утверждая о круге получателей. Инвалидация после небезопасных методов имеет ограниченную область и не гарантирует, что каждый посредник узнает об изменении прав в другой части приложения. RFC 5861 различает stale-while-revalidate для фоновой повторной валидации и stale-if-error для случая, когда пригодный ответ получить не удаётся.

Нужна запись о решении выдать ответ: ключ и раздел кэша, время хранения, вычисленный возраст и срок актуальности, запрос и контекст авторизации, директивы ответа, валидатор и результат повторной валидации, применённое исключение для просроченного содержимого, версия политики источника, время выдачи и компонент, принявший решение.