2. X-Content-Type-Options

2. X-Content-Type-Options: nosniff

잘못된 MIME형식 혼동을 기반으로 하는 공격을 차단하기 위해서 X-Content-Type-Options가 nosniff응답 해더를 보내면 잘못된 MIME형식이 포함된 요청건에 관해서 서버는 응답을 거부합니다. 

서버에서 X-Content-Type-Option이 nosniff 해더를 전송하면 브라우저에선 아래와 같이 동작합니다.

stylesheet

브라우저에서 styleSheet를 요청할때 MIME 형식이 text/css가 아니면 파일을 로드하지 않습니다.

script

script를 요청할때 MIME 형식이 아래와 같지 않으면 파일을 로드하지 않습니다.

• application/ecmascript
• application/javascript
• application/x-javascript
• text/ecmascript
• text/javascript
• text/jscript
• text/x-javascript
• text/vbs
• text/vbscript

예제

add_header X-Content-Type-Options: nosniff