[HTTP] Content sniffing

인터넷 익스플로러는 인터넷 옵션에 따라
마인 타입이 아닌 내용을 보고 파일 형식을 추측하려고 한다.

이런 동작을 컨텐츠 스니핑(content sniffing) 이라고 한다.

이 때 서버 설정이 잘못된 경우에도 제대로 표시됨으로 얼핏
사용자에게는 장점이 있는 것처럼 여겨질수 있다.

하지만 원래 텍스트로만 표시되어야 하는 text/plain 파일인데도
html 과 javascript 가 적혀 있으면 브라우저가 임의로 파일을
실행해버리는 일도 있을 수 있다. 뜻밖의 보안의 구멍이 될 수도 있다.

서버에서 다음과 같은 헤더를 전송해
브라우저가 추측하지 않도록 지시하는 것이 현재의 주류다.

 

X-Content-Type-Options: nosniff