| 名称 | X-Content-Type-Options |
|---|---|
| 作用 | 关闭 MIME 嗅探 |
| 规范 | WHATWG Fetch 标准（nosniff 行为定义） |
| 推荐值 | nosniff（全站） |
Nginx 全站添加
Nginx 全站添加
add_header X-Content-Type-Options nosniff always;上传目录尤其需要：用户上传的 .jpg 里藏 HTML 时，带 nosniff 的浏览器不会当 HTML 执行。
本包目录（405 条）
HTTP 方法与状态码91 条
HTTP 头与缓存70 条
- Cache-Control 缓存控制
- Content-Type 内容类型
- Set-Cookie 下发 Cookie
- Authorization 请求认证凭证
- Host 目标主机
- Cookie 请求头
- ETag 实体标签
- CORS 跨域机制与响应头组
- HTTP 请求头总览与规则
- 强缓存（fresh 阶段）
- Origin 请求来源
- HTTP 响应头总览
- X-Forwarded-For 客户端 IP 链
- 协商缓存（再验证）
- User-Agent 客户端标识
- Location 目标地址
- HSTS 强制 HTTPS
- CORS 预检请求流程
- Range 范围请求
- Cache-Control 指令全表
- Referer 来源页面
- Last-Modified 最后修改时间
- Cookie 属性速查
- Accept-Encoding 压缩协商
- Vary 缓存键维度
- Accept 内容协商
- X-Forwarded-Proto 原始协议
- CSP 内容安全策略
- If-Match 匹配前置条件
- Retry-After 重试等待
- Content-Length 内容长度
- If-None-Match 不匹配前置条件
- Content-Disposition 内容处置
- X-Real-IP 单一客户端 IP
- WWW-Authenticate 认证挑战
- 安全响应头清单与体检
- Accept-Language 语言协商
- Connection 连接控制
- Transfer-Encoding 传输编码
- X-Content-Type-Options 禁止嗅探
- If-Modified-Since 时间条件
- Age 缓存年龄
- X-Frame-Options 防嵌套
- Content-Encoding 内容编码
- Date 响应时间
- Upgrade 协议升级意愿
- Expires 绝对过期时间
- X-Cache 系列缓存诊断头
- Sec-Fetch-* 请求元数据
- Allow 允许的方法列表
- Server 服务器标识
- Referrer-Policy 来源策略
- If-Range 续传条件
- Accept-Ranges 范围支持声明
- Link 链接关系
- Expect 发送前期望
- Content-Range 片段范围
- Alt-Svc 替代服务通告
- Proxy-Authorization 代理凭证
- Forwarded 标准转发信息
- Server-Timing 服务端耗时
- Via 代理链路标记
- Permissions-Policy 功能开关
- If-Unmodified-Since 更新保护
- Trailer 尾部字段声明
- Content-Language 内容语言
- TE 传输编码协商
- Priority 请求优先级提示
- Max-Forwards 转发跳数限制
- Accept-Charset 字符集协商（已弃用）
X-Content-Type-Options 禁止嗅探
值为 nosniff：防浏览器无视响应 Content-Type 进行 MIME 嗅探，阻断「把 HTML/JS 伪装成图片」类攻击。
数据来源与参考
- WHATWG Fetch 标准（nosniff）
- MDN X-Content-Type-Options