Web安全之充分利用 X-Content-Type-Options

最新推荐文章于 2025-04-07 12:13:05 发布

路多辛

最新推荐文章于 2025-04-07 12:13:05 发布

阅读量7.8k

点赞数

分类专栏：细说web安全文章标签： web安全后端安全安全架构网络安全

本文链接：https://blog.csdn.net/luduoyuan/article/details/131196398

版权

细说web安全专栏收录该内容

40 篇文章

订阅专栏

X-Content-Type-Options是一个HTTP响应头，用于防止浏览器的MIME类型嗅探，降低XSS和snippet-injection攻击的风险。通过设置nosniff，服务器指示浏览器严格遵循指定的Content-Type，不执行可能有安全问题的内容。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

X-Content-Type-Options 是什么？

X-Content-Type-Options 是一种 HTTP 响应头，用于控制浏览器是否应该尝试 MIME 类型嗅探。如果启用了 X-Content-Type-Options，浏览器将遵循服务器提供的 MIME 类型，用于防止浏览器执行 MIME 类型错误的响应体（response body）。

如果在http响应头中指定的 Content-Type 与实际响应体返回的 MIME 类型不一致，这种情况下浏览器可能会忽略响应头中指定的Content-Type，执行实际响应体的 MIME 类型，造成安全风险，而设置 X-Content-Type-Options 就是为了避免这种类型的安全风险。

如何设置 X-Content-Type-Options ？

在服务器端（前后端分离的场景下，只需要在前端站点所在服务器配置即可，如果前后端在一起的话在项目所在服务器配置）的代码或反向代理服务配置中添加 X-Content-Type-Options 头即可。

以 nginx为例，在 nginx.conf 文件中添加以下行：

add_header X-Content-Type-Options nosniff;

以 apache为例，在 .htaccess 文件中添加以下行：

Header set X-Content-Type-Options "nosniff"

响应头 key 是 X-Content-Type-Options，值为 nosniff。这个配置是告诉浏览器禁止执行与 Content-Type 指定的类型不一致的响应内容，不要尝试从文件扩展名或文件内容中推断出文件类型，从而避免了内容嗅探所带来的安全风险。

X-Content-Type-Options 应用场景

主要用于防范 XSS（跨站脚本攻击）和 snippet-injection 攻击。snippet-injection 攻击是指把 HTML 代码嵌入到非 HTML 内容，浏览器会读取并解析该内容。这可能导致XSS攻击或着被误导到包含恶意代码的站点。

看个例子

下面是一段使用了 X-Content-Type-Options 响应头的代码：

HTTP/1.1 200 OK
Content-Type: text/html;charset=utf-8
X-Content-Type-Options: nosniff

<html>
<head>
<title>路多辛的博客</title>
</head>
<body>
<script>
alert("nosniff warning");
</script>
</body>
</html>

通过在响应头中添加 X-Content-Type-Options: nosniff，告诉浏览器只能执行 MIME 为 text/html 的响应内容，将阻止浏览器执行 JavaScript 代码。