html - 什么是 "X-Content-Type-Options=nosniff"？

Question

我正在使用 OWASP ZAP 在我的本地主机上进行一些渗透测试，它一直报告此消息:

The Anti-MIME-Sniffing header X-Content-Type-Options was not set to 'nosniff'

This check is specific to Internet Explorer 8 and Google Chrome. Ensure each page sets a Content-Type header and the X-CONTENT-TYPE-OPTIONS if the Content-Type header is unknown

我不知道这意味着什么，我在网上找不到任何东西。我已经尝试添加:

<meta content="text/html; charset=UTF-8; X-Content-Type-Options=nosniff" http-equiv="Content-Type" />

但我仍然收到警报。

设置参数的正确方法是什么？

Answer 1

它可以防止浏览器进行 MIME 类型的嗅探。大多数浏览器现在都尊重此 header ，包括 Chrome/Chromium、Edge、IE >= 8.0、Firefox >= 50 和 Opera >= 13。请参阅:

https://blogs.msdn.com/b/ie/archive/2008/09/02/ie8-security-part-vi-beta-2-update.aspx?Redirected=true

Sending the new X-Content-Type-Options response header with the value nosniff will prevent Internet Explorer from MIME-sniffing a response away from the declared content-type.

编辑:

哦，那是 HTTP header ，而不是 HTML 元标记选项。

另见:http://msdn.microsoft.com/en-us/library/ie/gg622941(v=vs.85).aspx