Buffalo应用需通过设置Cache-Control响应头禁用敏感页面缓存，并配合服务端auth_required中间件与前端history.replaceState干预，才能解决退出后浏览器后退仍显示私密页面的问题。
Buffalo 是服务端渲染框架，本身不提供前端路由（如 React Router 那样的 client-side routing），所以“前端路由重定向回退”这个说法容易引发误解——真正要解决的，通常是用户点击浏览器后退按钮时，页面状态与服务端 session 或登录态不一致的问题，比如退出后点后退仍显示个人页。
为什么浏览器后退会看到已退出的页面
这是典型的客户端缓存问题：服务端已清除 session 并跳转到 /login，但浏览器缓存了上一个页面（如 /dashboard）的 HTML，点后退就直接从本地加载，不发新请求，自然绕过服务端鉴权逻辑。
- Buffalo 的
auth_required中间件只在**新请求到达时**生效，对已缓存的 HTML 无感知 - 即使你在退出时用
c.Redirect(302, "/login")，也只影响当前跳转动作，不影响历史页面缓存 - Chrome/Firefox 默认会对 GET 页面启用
cache-control: private级别缓存，尤其在登录态场景下表现明显
强制禁用敏感页面缓存（最有效且必须做）
在需要保护的 handler（如 Dashboard、Profile）开头插入响应头，告诉浏览器“别存这个页面”：
<pre class="brush:php;toolbar:false;">func Dashboard(c buffalo.Context) error {
// 关键：禁用页面缓存
c.Response().Header().Set("Cache-Control", "no-store, no-cache, must-revalidate, max-age=0")
c.Response().Header().Set("Pragma", "no-cache")
c.Response().Header().Set("Expires", "0")
// 后续业务逻辑...
return c.Render(200, r.HTML("dashboard.html"))
}
- 必须用
c.Response().Header().Set()，不是 <code>c.Set()—— 后者只传给模板，不发 HTTP 头 -
no-store比no-cache更严格，禁止任何存储（包括内存缓存），适合登录态页面 - 不要只设
max-age=0，旧版 IE 和某些代理可能忽略它
退出后跳转前清空 history（辅助手段）
仅靠服务端头还不够？可在前端退出按钮点击后，用 JavaScript 主动干预浏览器历史栈：
HISUI 前端框架基础开发指南。HISUI 是基于 easyui 二次开发的 jQuery UI 组件库，专为医疗信息系统设计。当涉及 HISUI 组件开发、jQuery easyui 表格/表单/布局/窗口、医疗系统前端页面编写时使用此 skill。 涵盖 40 个组件的官方文档参考，支持声明式与编程式两种初始化方式，提供 $cm/$m 数据访问方法。
立即学习“前端免费学习笔记（深入）”；
<pre class="brush:php;toolbar:false;"><form action="/signout" method="POST" onsubmit="if (window.history.replaceState) { window.history.replaceState(null, '', '/login'); }">
<input type="hidden" name="_method" value="DELETE">
<input type="hidden" name="_csrf" value="<%= csrf_token %>">
<button type="submit">退出</button>
</form>
window.history.replaceState() 把当前 URL 替换成 <code>/login，避免后退回到/dashboard- 仅作为补充，不能替代服务端缓存控制 —— 用户仍可能手动输入地址或从书签访问
- 注意：必须等表单提交完成后再 replace，否则可能中断 POST 请求；上面写法是简化示意，生产环境建议用
fetch+then链式处理
别漏掉 CSRF Token 刷新后的副作用
用户退出再登录时，如果新 session 的 CSRF token 没更新，后续表单提交（如修改资料）可能因 token 过期失败。这会导致“看起来登进去了，但点保存就 403”：
- 退出时调用
s.Clear()会清掉所有 session 数据，包括_csrf，这点没问题 - 但登录成功后，必须确保模板中渲染的
_csrf值来自新 session —— 检查是否还在用旧缓存的 token（比如 Vue/React 组件里硬编码了初始值） - 推荐在登录成功 handler 末尾加一句：
c.Session().Regenerate()，强制换新 session ID，避免 token 复用风险
真正的“回退安全”不在前端路由，而在服务端缓存策略 + 客户端历史干预的组合。只要 Cache-Control 头没加对，其他都是补救；只要用户能手动输入 URL 访问受保护路径，服务端鉴权中间件就必须始终在线 —— 它才是最后一道防线。
