浏览器缓存本身不提升安全性，但与安全响应头协同可从传输防护和加载约束两层面加固静态资源：强制HTTPS+HSTS切断明文风险，按资源类型配置X-Content-Type-Options、CSP等头防篡改与解析错误，并通过禁目录浏览、屏蔽敏感后缀、限制HTTP方法等堵住缓存滥用入口。
浏览器缓存本身不提升安全性，但和安全响应头协同配置，能从“传输中防护”和“加载时约束”两个层面加固静态资源——既防中间人篡改缓存内容，也防浏览器错误解析或恶意嵌入。
强制 HTTPS + HSTS，切断明文传输风险
所有静态资源必须走 HTTPS，否则缓存内容可能在传输中被劫持或替换。Nginx 需在 443 端口终止 TLS，并注入 HSTS 头，让浏览器后续请求自动跳转加密连接：
- 监听并启用现代协议：
listen 443 ssl http2;，ssl_protocols TLSv1.2 TLSv1.3; - 添加 HSTS 响应头：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; - HTTP 请求一律 301 跳转：
return 301 https://$host$request_uri;（放在 80 server 块中）
按资源类型配安全头，避免与缓存策略冲突
不是所有安全头都适合强缓存资源。关键原则：轻量、兼容、不干扰验证机制。
-
哈希静态资源（如
app.a1b2c3.js）：设Cache-Control: public, max-age=31536000, immutable，只加X-Content-Type-Options: nosniff和X-Frame-Options: DENY—— 这些头不影响缓存逻辑，且能防 MIME 嗅探和点击劫持 -
普通静态资源（如
logo.png）：用public, max-age=2592000（30 天），保留 ETag 协商能力，可额外加Referrer-Policy: no-referrer-when-downgrade -
HTML 入口页（如
index.html）：禁强缓存，设no-cache, must-revalidate，同时启用完整防护头，包括Content-Security-Policy和X-XSS-Protection
拦截危险路径与方法，堵住缓存滥用入口
即使资源被缓存，也不能让它从非法路径或方法被读取。Nginx 原生指令即可实现源头收敛：
- 关闭目录浏览：
autoindex off;（显式声明，不依赖默认） - 屏蔽敏感后缀：
location ~ \.(git|log|bak|swp|htaccess)$ { return 404; } - 限制 HTTP 方法：
limit_except GET HEAD { deny all; }（写在具体静态 location 内，比 if 更安全） - 对管理类资源（如
/admin-assets/）叠加 IP 白名单：allow 192.168.1.0/24; deny all;
隐藏服务指纹，降低攻击面
缓存资源若携带服务器版本等信息，攻击者可精准利用已知漏洞发起打击：
- 关闭版本暴露：
server_tokens off; - Nginx 以非 root 用户运行（如
www-data），静态目录权限设为755或更严 - 禁用符号链接防止路径穿越：
disable_symlinks on;（配合alias使用更稳妥）
