node.js - 响应 header 中 Content-Type 的用途是什么？

Question

const binary = xxxxx;
res.set('Content-Type', 'image/jpg');
res.send(binary);

以上是返回图像的示例，在快速路线上定义。我不明白的是，尽管我将 Content-Type 更改为 application/json，但它似乎也有效？

const binary = xxxxx;
res.set('Content-Type', 'application/json'); //Still returning an image?
res.send(binary);

Answer 1

Content-Type header 仅指示资源的媒体类型。浏览器可以使用 MIME 嗅探，并在某些情况下完全忽略它。为了防止这种行为，您可以将 X-Content-Type-Options 设置为 nosniff。

出现一个问题:我是否需要设置此实体 header ？如果不设置它，您将强制浏览器每次都嗅探 MIME 类型，从而可能将响应正文解释并显示为除预期内容类型之外的内容类型。如果您的服务器允许用户上传文件，则黑客可以通过以 Web 应用程序接受并由浏览器呈现为 HTML 的方式操纵内容来执行 XSS 攻击。他可以将代码注入(inject)例如图像文件并让受害者通过查看图像来执行它。