会员文件与付费资源：缓存命中之后仍要验证权限
将文件分发与访问权限拆开设计，检查链接过期、账号退出和缓存副本的交互。
本文目录
可缓存与可公开是两回事
同一份文档可能被多个付费账号下载，但是否有权访问必须逐次按业务规则判断。使用 SCDN 分发前，明确权限检查发生在哪里，以及边缘是否具备所需能力；未经确认，不假设所有套餐支持同一种签名 URL 方案。
缓存键不能抹掉安全差异
为了提高命中率而直接忽略查询参数，可能同时忽略决定权限或版本的字段。先区分跟踪参数、内容参数和鉴权参数，并在测试环境验证规则变更，确保不同权限用户不会共享不该共享的响应。
链接失效后检查实际结果
测试链接过期、会员到期、退出登录和管理员撤销权限后的下载结果。浏览器已有的本地副本无法通过一次服务端规则撤回，因此敏感资料还需要结合内容级保护和分发范围控制。
与批量下载策略共同评估
大量合法下载也会占用正常业务带宽。根据授权用户数量、文件大小和高峰时间规划容量，并确认所选产品允许该业务形态，避免把动态 API 的资源预算直接用于大文件分发。
参考资料
OWASP REST Security Cheat Sheet