HTTP 缓存策略变更验证与证据交付

先固定测试案例，再改策略

本流程服务于开发和运维对一次缓存策略改动的批准，不是泛化的性能审计。先在平台外保留旧配置和可执行的回滚方案，登记确切 URL、方法、参数顺序、响应变体、时间及客户端位置。参数分析器用于盘点，不负责确认 CDN 实际缓存键；加随机参数绕开缓存属于新案例，不能冒充相同请求的重复测试。

先区分公共与个性化响应，仅用获准的合成账号检查隔离。原始证据受控保存，提交工具或分享前另作脱敏副本。本专题是操作指南，不会自动串联部署。

明确是谁观察到的响应

响应头分析器从服务器发请求并跟随跳转，应记录方法和最终 URL，不把结果称为完整逐跳记录，也不假设它拥有浏览器的登录状态。浏览器请求测试器受 CORS、暴露头和受限请求头约束，当前实现没有显式跨域携带凭证的设置；看不到某个头不代表线上响应不存在它。

工具无法重现的场景需用获授权的外部采集方式，保留请求条件和内容证据。服务器与浏览器可能因位置或上下文不同获得不同结果，应分别记录。

把预算当计算，而不是上线证明

公共测试样例可使用 public, max-age=60, s-maxage=600, stale-while-revalidate=30，在分析器中对应浏览器 60 秒、共享缓存 600 秒及重验证宽限 30 秒。它是演示，不是所有业务的建议值，实际预算须由内容负责人确认。

工具接受单个头值及可选预算，CDN 提示是静态说明，不读取真实规则、缓存键或清理状态。过期窗口合计是审核用算术，不保证额外可用时长，也不是结合 Age 算出的剩余新鲜度。重复指令及冲突先处理；新鲜度计算为零不能直接解释成“未存储”，重验证要求与禁止存储是不同概念。

复测同类案例，解释异常

操作者部署后重复相同案例，对比原始头、内容、跳转及可用缓存诊断，保留时间和客户端条件。200 或 304 本身不证明边缘命中，速度快也不证明结果正确。检查相关响应变体与获准账号隔离，不以单个公共请求代替全部范围。需要服务商诊断时另行采集，未做的检查写为待核。

文本对比只提供逐行线索，原始响应仍需保存。用于复现的 cURL 先脱敏再转 HAR；离线转换不发流量、不采集响应，必须标为“仅请求说明”。输出是 JSON 并不意味着令牌或 Cookie 可以公开。

交付决定与回滚条件

保存批准策略、配置版本、测试矩阵、时间、观察、差异及人工决定。明确跨用户内容泄露、过期范围超预算或关键案例未匹配等阻断与回滚条件，隔离失败不能带病批准。工具不部署、不清理缓存，也不执行回滚；仅恢复响应头不一定移除已存储对象，恢复方法需由操作者定义并验证。

分享副本脱敏完成后再计算 SHA-256，本地保存确切文件，哈希仅标识副本，不认证策略正确。受控原件另存。请求构造转到 API 调试专题，传输故障转到网络排障，URL 发布检查转到技术 SEO；本页止于一次有范围的缓存变更决定，不是全球 CDN 行为认证。