huxins

开车吗？晚高峰的时候，六点半和七点出发，到家时间应该差不多，甚至六点出发都和七点出发差不多

@Eyon 本就如此，权限只是限制特定用户（比如：张三），而不是特定用户的特定方式（比如：张三的 Postman ）

楼主解决问题的方向错了，防止使用者通过非浏览器方式调用，可以动态生成 sign 等。但也只是加大破解难度，做不到完全禁止。
攻和防，只是成本问题。
你只要想在浏览器中展现数据，用户就一定可以在其他地方（如 postman ）中，获取数据。
常用解决方案：5 秒盾，各种验证码。

emmm ，看到这帖，赶快看下，发现已经过期 12 天了，难受

HTTP HTTPS 代理 这三者并不通用
HTTP：可能源服务器就没有这个 Header
代理：源 HTTP 没有返回 Cache-Control Header 的情况下，代理给加上了这个头
HTTPS：源服务器有 Cache-Control Header