javascript - 如何/在哪里可以在包含用户输入的所有响应中添加 “X-Content-Type-Options: nosniff”

Question

问题背景
没有“X-Content-Type-Options”HTTP header ，其值nosniff设置在响应。缺少此 header 会导致某些浏览器尝试确定响应的内容类型和编码，即使这些属性定义正确。这可能会使 Web 应用程序容易受到攻击防止跨站脚本(XSS)攻击。例如。 Internet Explorer 和Safari 将内容类型为 text/plain 的响应视为 HTML(如果它们)包含 HTML 标签。

问题修复
至少在所有包含 user 的响应中设置以下 HTTP header 输入:
X-Content-Type-Options:nosniff

如何以及在哪里添加此内容？

我使用的是Codeigniter 3.0.1

Answer 1

在用于设置应用程序环境的index.php文件中添加以下 header :

header('X-Content-Type-Options: nosniff');

或者，您可以在 apache 服务器上设置它(首选)。您可以通过修改 Apache 设置或 .htaccess 文件并向其中添加以下行来启用它:

<IfModule mod_headers.c>
  Header set X-Content-Type-Options nosniff
</IfModule>