add_header X-Content-Type-Options nosniff

这个头部指令是用来告诉浏览器在解析响应内容类型时，不要嗅探该响应内容的 MIME 类型。这可以防止某些浏览器在无法判断 MIME 类型时，试图猜测响应内容的类型，从而导致安全漏洞。如果响应内容的类型是不确定的或者具有潜在风险，建议在响应头中添加此指令。

该指令可以通过在 Nginx 的配置文件中添加以下语句来设置：

add_header X-Content-Type-Options nosniff;

这样在服务器发送响应时，将自动添加该头部指令到响应头中。

相关问题

X-Frame-Options: DENY X-Content-Type-Options: nosniff

X-Frame-Options和X-Content-Type-Options都是HTTP响应头，用于增强Web应用程序的安全性。其中X-Frame-Options用于防止点击劫持攻击，X-Content-Type-Options用于防止MIME类型混淆攻击。

如果设置X-Frame-Options为DENY，则页面不能被嵌入到任何iframe或frame中，这样可以防止点击劫持攻击。如果设置X-Content-Type-Options为nosniff，则浏览器将不会执行响应中的脚本，这样可以防止MIME类型混淆攻击。

以下是设置X-Frame-Options为DENY和X-Content-Type-Options为nosniff的示例代码：

add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

如何在nginx 里面 添加 X-Content-Type-Options：nosniff

要在 Nginx 中添加 `X-Content-Type-Options: nosniff`，可以使用 `add_header` 指令。以下是一个示例配置：

server {
    listen 80;
    server_name example.com;

    # ...

    add_header X-Content-Type-Options nosniff;

    # ...

}

在这个示例配置中，`add_header` 指令添加了一个名为 `X-Content-Type-Options` 的响应头，并将其值设置为 `nosniff`，这将告诉浏览器不要在未知 MIME 类型的情况下执行文件。请注意，这将在所有响应中添加该头部。如果您只想针对某些请求添加该头部，可以在 `location` 块中使用 `add_header` 指令。