Defaults.Exposed › 修复 › MIME 嗅探防护（X-Content-Type-Options）

如何修复 MIME 嗅探防护（X-Content-Type-Options）

一条简单的响应头，阻止浏览器去猜测某个文件到底是什么。少了它，有人上传到你网站的文件——或你自己页面上的文件——可能被浏览器误判并当作代码运行，而这正是某些攻击把一个看似无害的上传变成窃取客户会话手段的方式。

对您业务的关键影响： 缺少这条响应头，是一个清晰、可被扫描出来的信号，说明基础没做到位。单凭它本身很少会让网站瘫痪，但一旦配合文件上传表单或用户生成内容，它就为攻击者打开了一条路：在访客浏览器中运行恶意代码——劫持已登录会话、窃取刷卡或登录信息，并把你推到数据泄露这场对话的被动一方。它是安全领域里最便宜的修复之一：一行设置，免费，约五分钟。

这会让您付出什么代价

• 任何允许客户或员工上传文件的页面（头像、文档、客服附件、商品照片）都可能成为浏览器端攻击的发射台。
• 攻击者可以把恶意代码伪装成图片或文本文件，让访客的浏览器去运行它——从而窃取他们在你网站上的已登录会话。
• 安全问卷、网络保险检查和企业买家都会扫描这条响应头；它的缺失会被读作他们连基础都不做，足以拖延或拖垮一笔交易。
• 旧浏览器和某些集成会嗅探内容类型，可能以破坏信任或泄露数据的方式错误处理文件。

为什么它重要。 当服务器对一个文件是什么含糊其辞时，浏览器会试图去猜（嗅探）它的内容类型。攻击者正是利用这种猜测：上传一个被服务器标为图片的文件，却精心构造其内容，让浏览器判定它实际是 JavaScript——并运行它。X-Content-Type-Options: nosniff 这条响应头告诉每个浏览器停止猜测、信任服务器声明的类型，从而堵住一整类伎俩。它是一项计 25 分的计分检查，缺失时定为中等严重级。

给业主的简短版

每个网页浏览器里都内置着一个不动声色的假设：当它从你的网站下载一个文件时，它会去判断这是哪类文件。通常它会信任你的服务器。但如果你的服务器含糊不清，浏览器就会去猜——这种猜测叫 MIME 嗅探。

问题在于，攻击者能操纵这个猜测。他们可以构造一个文件，让你的服务器真心相信它是一张无害的图片，但浏览器在自行猜测时却判定它其实是一段程序代码——然后就在你客户的浏览器里、在你的域名下运行了它。

有一条单行指令可以关掉这种猜测：X-Content-Type-Options: nosniff。它告诉每个浏览器：别猜了——完全信任我服务器告诉你的。这就是全部的修复。它免费，约五分钟，在一个正确构建的网站上不会弄坏任何东西。

这项检查就是在找这条响应头。如果它缺失，你会失去 25 分，并被定为中等严重级的问题——不是因为单凭这条响应头就是灾难，而是因为它的缺失可靠地表明：基础并未被锁好。

这会让你付出什么代价

下面是真实、商业层面的场景——不是最坏情况的戏剧化渲染。

• **那个并不无害的无害附件。**你运营一个客服门户或市场平台，客户会上传文件——收据、照片、文档。攻击者上传一个文件，你的系统把它存下来并当作图片提供。没有 nosniff，受害者的浏览器会猜这个文件其实是脚本并运行它——悄悄窃取那位访客在你网站上的已登录会话。现在攻击者就是他了：下单、读消息、改资料。等到客户开始抱怨自己没做过的操作时，你才发现。

• **卡在安全问卷上的交易。**一个较大客户的采购团队在签约前对你的网站做自动扫描。缺失的安全响应头立刻就显示出来。即使从未被实际利用过，报告也会写着基础网页安全响应头缺失，于是你突然要去回答整改问题、把签约日期往后推好几周——而这只是一个本来五分钟就能修好的东西。

• **越来越难办的网络保险续保。**如今越来越多的保险公司在报价或续保前会做外部扫描。一份干净的响应头清单是廉价的安全卫生证据；缺一条则是个小污点，跟其他污点叠在一起，会推高你的保费或拉低你的条款。

• **难以挽回的声誉打击。**如果一起会话劫持事件追溯到从你域名提供的某个文件，故事就不会是缺了一条冷门的响应头——而是某某公司泄露了客户账户。这才是客户记住的版本，而它的代价远远高于修复本身。

这些都不需要一个高深的攻击者。MIME 嗅探滥用被充分研究、已被自动化——这正是为什么扫描器对缺失的响应头标记得如此坚决。

它实际上是什么

当浏览器收到一个文件时，服务器本应给它打上一个内容类型标签（例如 PNG 图片是 image/png，网页是 text/html）。历史上，浏览器并不完全信任这个标签——部分原因是有些服务器标错了——所以它们会偷看文件的实际字节，自行判断。这种偷看就是 MIME 嗅探。

它本是一种便利，却变成了隐患。如果攻击者能把一个文件弄到你网站上（通过上传表单、评论框、导入的文档）并影响其内容，他们就能构造出一个被服务器标得无害、却被浏览器嗅探为可执行脚本的东西。浏览器随后就在你的域名下、带着你域名所拥有的全部信任，运行了它。

X-Content-Type-Options: nosniff 彻底消除了这种猜测。设置它之后，浏览器被告知：**使用服务器声明的类型，别无其他。**一个被标为图片的文件就当图片处理，到此为止——哪怕它的内容看起来像脚本。攻击路径就此关闭。

**良好的状态长什么样：**你网站的每个响应——页面和资源一律如此——都带着这一条响应头：

X-Content-Type-Options: nosniff

没有别的有效取值，也没什么要调的。如果你的 CDN 和服务器都加了它（于是你看到 nosniff, nosniff），这没问题，仍算通过。

如何修复（免费，约 5 分钟）

**把这一节交给负责你网站的人——你的 IT 人员、网页开发人员或主机服务商。修复既免费又快；没有任何东西要花钱买。**你要求的事很简单：给网站上每个页面和资源加上响应头 X-Content-Type-Options: nosniff。

下面按常见平台给出细节。

Cloudflare（或类似的 CDN/代理）——往往是最快的地方，一次覆盖全站：

• 用一条响应头转换规则（Rules → Transform Rules → Modify Response Header），对所有进入的请求把 X-Content-Type-Options 设为 nosniff。这会在不触碰源站服务器的情况下全站生效。

Nginx——加在相关的 server（或 location）块内：

add_header X-Content-Type-Options "nosniff" always;

always 关键字确保它在错误响应上也会发送。保存后重载 Nginx。

Apache——需启用 mod_headers；在站点配置或 .htaccess 中：

Header always set X-Content-Type-Options "nosniff"

IIS / Windows 主机——在 web.config 的 <system.webServer> 下：

<httpProtocol>
  <customHeaders>
    <add name="X-Content-Type-Options" value="nosniff" />
  </customHeaders>
</httpProtocol>

Node / Express——对每个响应都设置它：

app.use((req, res, next) => {
  res.setHeader('X-Content-Type-Options', 'nosniff');
  next();
});

（或使用 helmet 包，它默认会设置这条以及其他几个安全响应头。）

**Google Workspace / Microsoft 365 网站：**这些管理的是你的邮箱和文档，不是你的公开网站托管，所以响应头不设在那里——它要设在你网站本身实际提供服务的地方（你的 CDN、Web 服务器或建站平台）。如果你用的是托管建站平台（Squarespace、Wix、Shopify 等），不少会自动替你加上这条响应头；与其假设，不如去核对结果，缺了就问他们的支持。

**部署后，验证一下。**重新运行你的扫描，或让开发人员在浏览器开发者工具里检查响应头（网络标签页 → 点任意请求 → 响应头），确认 X-Content-Type-Options: nosniff 存在。简单测一下网站，确认没有任何样式或脚本坏掉——在一个正确构建的网站上，什么都不会坏。

常见错误

• **只在首页设置它。**这条响应头必须在每个响应上——包括图片、脚本、样式表和上传的文件——因为嗅探影响的正是这些资源。在服务器或 CDN 层面统一设置，让它全局通用，而不是逐页去加。
• **取值打错字。**唯一有效的取值是 nosniff。其他任何东西（空值、拼写错误）都会让检查不通过，也提供不了任何防护。扫描器会报告它实际看到的值，方便你揪出错别字。
• **以为它能替代内容安全策略。**nosniff 只是一层。它不控制哪些脚本被允许运行——那是 CSP 的活。现在先加上 nosniff 作为一个快速收益，把一份正经的 CSP 当作更大的后续工作来对待。
• **去掉重复项。**如果你的 CDN 和源站都设了它，你会看到两次。这无害——别花时间去剥掉一个。
• **为它付费。**这是一个免费的配置改动。监控、审计和组合面板可以正当收费；加一条响应头则不该收费。

把这一段交给你的 IT 人员

技术摘要：本检查查验 HTTP 响应头，当 X-Content-Type-Options 存在且其（不区分大小写的）取值包含 nosniff 时通过——包括 CDN 与源站都设置时的多源 nosniff, nosniff 情况。缺失或任何非 nosniff 的取值即不通过。它是一项计分的 P2 检查，计 25 分，失败时定为中等严重级，对应 OWASP Top 10 A05（安全配置错误）。补救措施是在所有响应上应用一条静态响应头；没有参数，也没有有效的替代取值。在边缘（CDN）设置以覆盖全站，或在 Web 服务器上以 always 语义设置，使其在错误响应上也会发出，然后在响应头中确认。

常见问题