X-Content-Type-Options 与 MIME 嗅探防护

浏览器会嗅探资源实际类型，可能把声明为图片的文件当脚本执行；X-Content-Type-Options: nosniff 关闭嗅探，配合正确 Content-Type 降低脚本注入与下载欺骗面。

Nginx 配置

add_header X-Content-Type-Options "nosniff" always;
# 同时确保各类型文件的 Content-Type 正确下发
include mime.types;
default_type application/octet-stream;

用户上传的文件在下载场景建议加 Content-Disposition: attachment，避免浏览器内联渲染。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌