Spring Security-无法避免缓存控制

Question

我有一个应用程序，并使用spring的控制器映射将图像加载到我的用户。（输入流、响应等）。

在我的控制器中，我将头设置为缓存控制，基于文件等。但在所有请求中总是有pragma：no-cache和Cache-Control：“max-age=0”，这取代了我的响应设置。

我一直在想方设法解决这个问题，但什么都没用。

我已经阅读了所有页面，并尝试了我找到的所有相关内容：http://docs.spring.io/autorepo/docs/spring-security/3.2.0.CI-SNAPSHOT/reference/html/headers.html

我的Spring安全。xml具有：

    <security:headers disabled="true"/>

有人有解决这个问题的好主意吗？

记住，要通过控制器加载需要加载的图像，我从不直接调用static。

Answer 1

根据您链接到的Spring Security reference（3.2.0），

使用不带子元素的元素可以轻松添加所有默认标头

只需自行添加标题即可打开所有子元素（例如缓存控制、xxs等）。要么根本不包括头，要么显式指定要启用的子元素。

顺便说一句，我不认为禁用是标头的属性（对于3.2.0）。如果您使用的是4.0版，则有一个禁用属性以及disable-dedefault，这可能是您想要的。

Answer 2

如果使用基于Java的配置，可以通过以下方式禁用缓存控制标头：

@Configuration
@EnableWebMvcSecurity
class SpringWebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(final HttpSecurity http) throws Exception {
        http.headers().cacheControl().disable();
    }
}

这将删除CacheControlHeadersWriter，Spring将不再写入缓存控制头。

Answer 3

可以通过在HttpServletResponse中重写每个操作来控制缓存控制头：

@RequestMapping(value = "/foo", method = RequestMethod.GET)
public String someAction(HttpServletResponse response) {
    response.setHeader("Cache-Control", "no-transform, public, max-age=86400");

    // ...
}

无需修改Spring Security配置。

看见http://docs.spring.io/spring-security/site/docs/current/reference/html/headers.html#headers-缓存控制。