認証されたREST APIのHTTPキャッシュ

Question

現在、REST APIを構築中です。私が作成しているリソースの多くは、誰がリソースにアクセスしているかにかかわらず常に同一です。いくつかは、Vary: Authorizationヘッダを持っていません。あなたが認証されていない場合は、401応答を取得します

1. ：

   2つの例外があります。

2. アクセス権のない一部のリソースに対して403の応答が表示される場合があります。

私の質問は、このシナリオでは、キャッシュを正しく設定することができますか？特に、メインサービスの負荷を軽減するために、nginx、varnish、haproxyなどのリバースプロキシを使用したいと考えています。

この問題の解決策はありますか？

Answer 1

Vary: Authorizationは不要です。承認付きリクエストへの応答は自動的にプライベートであり、共有キャッシュによってキャッシュされません。

Cache-Control: publicを送信してこれを無効にすることができます。その応答は通常のルールを使用してキャッシュできます。

ただし、これらの応答を認証したままにしたい場合は、認証を行う必要があります。また、Cache-Control: no-cacheを送信することでこれを行うことができます。これにより、ストアドレスポンスを提供する前にキャッシュが原点で確認されます。

あなたはだけは、リバースプロキシを持つようにしたい場合（例えば、ワニスは、nginxの）やるキャッシュは、それがキャッシュからの応答を提供し、「エッジ」に認証を課すように構成されているの方法を持っている可能性があります要求に適切な認証がある場合詳細については、ドキュメントを確認してください。