curl -sI https://example.com/api/profile -H 'Cookie: sid=xxx' | grep -i cache-control # 期望 private, no-store
内部服务返回 Cache-Control: max-age=300，网关原样透传，浏览器把带权限数据的接口缓存了五分钟，切账号后还看到上一个账号的数据。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。
追下去是这么回事：内部服务加缓存头是为了本地缓存，网关没做过滤直接透给客户端。浏览器按这个头存了响应，切换账号也不会重新请求。服务间的缓存策略和面向公网的策略不是一回事。
围绕「缓存头透传」排查时，命令行跑一遍比在面板里点十次有用，面板会替你做掉不少隐式操作。同类问题如果隔一段时间又出现，多半是某个定时任务或重启流程把改动冲掉了。
处理上按这个顺序：网关统一重写对外响应头 不直接透传内部值；内部接口的头只在服务间生效 出网关前去掉；对含用户数据的响应统一 private, no-store；用两个账号切换验证响应是否重新请求。
确认没问题再收工，网关返回的头是统一策略 切换账号后数据立即刷新 浏览器缓存里没有权限数据。