node.js - x-content-type-options : nosniff coming from? 在哪里

Question

我在 Node 4.4.3 中使用 express 4.x。 Web 服务器是 nginx，我在 Node 中运行一个 http 服务器模块——为此我使用 nginx 作为反向代理(使用“上游”)。当我在浏览器控制台中检查它时，我看到了下面的响应 header

x-content-type-options: nosniff

我已经彻底检查了我的 nginx conf 文件是否有此设置/ header ，但它不存在。想知道我是否可以得到一些关于它可能来自哪里的指示？当我在 nginx.conf 中添加 add_header X-Content-Type-Options nosniff; 时，我看到上面的内容在响应 header 中出现了两次，如下所示

X-Content-Type-Options:nosniff
X-Content-Type-Options:nosniff

想知道是什么原因造成的。如果需要任何进一步的信息，请告诉我。谢谢

这是我的 Node 安装的模块文件夹内容

Answer 1

这可能来自安装在您的快速应用程序中的包。您应该检查 package.json 文件。查找列出所有已安装包的 dependencies 部分。

Helmet通常是添加 X-Content-Type-Options:nosniff header 的包之一。

编辑:根据您的依赖项列表，最可能的解决方案是使用 Express 返回“jsonp”内容。在这种情况下，当用户未设置 Content-Type header 时，Express 将添加 X-Content-Type-Options header (请参阅第 289 行的 response.js 文件在 node_modules/express/lib 中)。它也可能来自 Express 使用的一个或另一个依赖项，如“finalhandler”、“send”或“serve-static”(有关 Express 的依赖项列表，请参阅 there)，但如果不调试整个应用程序，则很难确定。