HTTP 请求头与响应头速查

1缓存控制：强缓存与协商缓存

浏览器缓存由两类机制组成：强缓存（在有效期内直接用本地副本，不发请求）和协商缓存（每次都问服务器「变了吗」，没变就返回 304 省流量）。Cache-Control 是现在的主力字段，Expires 是它的老前辈。

一句话记法：no-cache 是「用前先问」，no-store 才是「完全不留」。这两个名字起得有误导性，是缓存配错的第一大来源。

2跨域（CORS）相关字段

跨域请求能不能通过，取决于服务端返回的 Access-Control-Allow-* 系列响应头。非简单请求（如带自定义头、发 JSON、用 PUT/DELETE）会先发一次 OPTIONS 预检请求，预检通过了才发真实请求。

OPTIONS 预检本身必须返回 2xx 并带上正确的 Allow-* 头，否则浏览器直接拦截，业务代码根本没机会执行——这也是「本地测试正常、线上跨域失败」最常见的原因。

3安全相关响应头

这几个字段不解决业务问题，但能挡掉一整类攻击。它们全部由服务端下发，前端改不了。新站点建议至少配置前三项。

4内容协商与身份字段

这一组决定「传的是什么、要什么、以什么身份」。其中 Content-Type 与 Accept 的区分、charset 的位置，是接口联调时最常被问到的问题。

5Cookie 的六个属性

Cookie 由服务端通过 Set-Cookie 下发，属性决定了它的安全边界和生命周期。其中 HttpOnly、Secure、SameSite 三项直接关系到账户安全，建议默认全开。

HttpOnly

禁止 JavaScript 读取该 Cookie，能有效防止 XSS 攻击窃取会话。存放登录态的 Cookie 必须加

Secure

仅通过 HTTPS 传输，防止在明文链路上被截获

SameSite

控制跨站请求是否携带。Lax 是当前浏览器默认值；Strict 最严；None 必须同时加 Secure

Domain / Path

限定 Cookie 的生效范围。Domain 设得过宽会把 Cookie 暴露给不相关的子域

Max-Age / Expires

有效期。都不设置时为会话 Cookie，关闭浏览器即失效

前缀 __Host- / __Secure-

Cookie 名称前缀，强制浏览器校验 Secure 与 Path 条件，是额外的加固手段

6四个最容易配错的地方

no-cache ≠ 不缓存

它要求每次使用前回源校验，副本仍然会存；真正「完全不存」的是 no-store。把含敏感信息的接口配上 no-cache，本地磁盘上依然留有明文副本，这是常见的认知错误。

CORS 通配符与凭证不能共存

当请求携带 Cookie 时，Access-Control-Allow-Origin 必须回显具体来源，写 * 会被浏览器直接拒绝。这一条在「一个接口给多个前端用」时最容易踩。

预检请求失败不在业务代码里

OPTIONS 预检由浏览器发起、框架或网关处理。如果预检返回 404 / 405，或没带 Allow-* 头，真实请求根本不会发出——排查时要看 Network 面板里的 OPTIONS 那一条，而不是业务请求。

HSTS 下发后很难撤销

浏览器在 max-age 有效期内会强制用 HTTPS 访问该域名，一旦证书出问题或配置错误，用户连降级到 HTTP 的机会都没有。上线前先用较短的 max-age（如 300 秒）验证，确认无误再逐步加长。