Vary cu asterisc trebuie să oprească stocarea în cache comun

Înainte să stabiliți cum deosebiți răspunsurile din cache, stabiliți dacă răspunsul poate fi stocat într-un cache comun. Antetul Vary cu asterisc privește această primă decizie. El nu numește încă un antet al cererii pe care să îl adăugați în cheie. Refuză definirea unei variante reutilizabile prin compararea obișnuită a antetelor. O cheie mai elaborată nu poate furniza permisiunea pe care răspunsul nu a acordat-o.

Anunțul de securitate Django din 5 mai 2026 descria CVE-2026-6907: UpdateCacheMiddleware putea stoca greșit răspunsuri al căror antet Vary conținea un asterisc, cu riscul de a păstra și servi date private. Lecția durabilă privește ordinea deciziilor. Stabiliți dacă stocarea este permisă înainte să construiți identitatea răspunsului stocat.

Refuzul diferă de încă o dimensiune a cheii

Cheia cache stabilește ce reprezentare reutilizabilă corespunde unei cereri. Regula de stocare stabilește dacă răspunsul poate participa la această reutilizare. Întrebările se influențează, dar nu sunt echivalente. Dacă orice semnal de variație devine doar o componentă a cheii, dispare posibilitatea ca semnalul să ceară oprirea reutilizării.

Modificarea pentru ramura 5.2.x arată distincția. Ea verifică prezența asteriscului și returnează răspunsul înaintea operațiilor ulterioare de cache. Acest retur anticipat este decizia de arhitectură: răspunsul ajunge la destinatar fără să devină, prin acest traseu, o intrare comună reutilizabilă. Este o decizie despre stocare, nu o dimensiune nouă a cheii.

Distincția ajută și la verificarea codului. Persoanele care îl analizează pot identifica întâi condițiile care exclud un răspuns, apoi pot urmări separarea răspunsurilor eligibile. Când ambele idei sunt ascunse în construirea cheii, devine mai greu de stabilit dacă o variație lipsă reduce doar precizia sau încalcă regula de reutilizare a răspunsului.

Consecința pentru produs vine din sensul partajării. Un răspuns poate ajunge corect la destinatarul său și totuși să fie nepotrivit pentru alt destinatar. Dacă verificați doar rezultatul primei cereri, această distincție rămâne neobservată. Comportamentul cache-ului comun are nevoie de o responsabilitate explicită în mentenanță, chiar când afișarea obișnuită a paginii pare corectă.

Păstrați separat cele două anunțuri

Anunțul din mai indica drept ramuri afectate aflate atunci în suport Django main, 6.0 și 5.2 și publica versiunile 6.0.5 și 5.2.14. Acestea sunt date istorice despre lansare. Ele precizează modificarea discutată în articol; nu stabilesc ce versiuni ar trebui alese pentru o instalare la data lecturii.

Există și un capitol ulterior necesar. Anunțul din 3 iunie 2026 descria CVE-2026-48587, referitor la spații înainte sau după valorile din Vary. Explicația arăta că funcția auxiliară nu elimina spațiile, astfel încât putea să nu recunoască un asterisc însoțit de spații și permitea stocarea răspunsului. Modificarea din mai nu poate fi prezentată drept completă pentru toate formele de reprezentare.

Anunțul din iunie enumera main, 6.1 aflat atunci în stadiul alfa, 6.0 și 5.2 ca ramuri afectate aflate în suport și publica versiunile 6.0.6 și 5.2.15. Dovezile din iunie nu pot fi mutate în mai pentru a face prima remediere să pară mai completă. Nici declararea modificării din mai drept inutilă nu ar reda ce a schimbat efectiv. Succesiunea arată o regulă corectă de stocare a cărei recunoaștere mai avea nevoie de o corecție.

Merită păstrată această distincție în mentenanță: regula poate fi corectă, în timp ce implementarea nu recunoaște toate formele pe care regula le acoperă. Verificarea regulii nu dovedește, singură, că analiza antetului tratează corect valorile primite. Nici verificarea unei singure forme acceptate nu dovedește că regula este completă.

Forma de reprezentare intră în analiză

Sensul asteriscului trebuie păstrat indiferent de forma permisă a valorii din antet. În acest caz, spațiile au separat regula intenționată de comportamentul descris în anunțul ulterior. Pentru persoana care întreține aplicația contează unde are loc recunoașterea și ce presupune ea despre normalizarea anterioară a valorilor.

Poate părea suficient să adăugați o excepție lângă operația de stocare. O asemenea intervenție poate fi necesară într-o anumită remediere, dar analiza arhitecturii ar trebui să identifice în continuare interpretarea comună a antetului. Altfel, componente diferite pot părea că aplică aceeași regulă, deși o aplică unor valori diferite. Neconcordanța este ușor de omis dacă citiți doar funcția care stochează răspunsul.

Aceste observații nu dovedesc expunerea datelor într-o anumită instalare. Anunțurile descriu un risc posibil în condițiile comportamentului relevant. Folosirea componentei, producerea antetelor afectate și servirea răspunsurilor relevante cer dovezi din acea instalare. Concluzia articolului privește limita din arhitectură, fără să estimeze incidente și fără să prezinte o reproducere.

Unele rute pot ocoli complet această decizie

Cel mai puternic contraargument este că rutele declarate explicit nepotrivite pentru cache pot ocoli componenta de cache comun. Responsabilitatea poate deveni mai clară când rezultatul unei rute nu trebuie partajat niciodată. Nu ajută prea mult să cereți unei componente generale să redescopere o interdicție pe care arhitectura rutelor o poate exprima direct.

Alternativa depinde de organizarea rutelor și a cache-ului. Excluderea unor rute nu dovedește că toate celelalte răspunsuri pot fi stocate. Un produs poate avea atât rute excluse deliberat, cât și rute pentru cache ale căror antete impun restricții suplimentare. Cele două reguli ar trebui să poată fi înțelese împreună.

În mentenanța software, începeți prin a identifica răspunsurile care pot ajunge în stocarea comună și locul unde se decide dacă sunt eligibile. Păstrați distincția istorică dintre verificarea asteriscului din mai și corecția pentru spații din iunie atunci când consemnați motivul analizei. După respectarea refuzului, diversitatea cheilor își poate îndeplini rolul mai restrâns: deosebirea răspunsurilor care pot fi efectiv reutilizate.