为除IE11以外的所有支持它的浏览器设置nosniff报头

Question

在我的.htaccess文件中

<IfModule mod_headers.c>
  # Disable content sniffing, since it's an attack vector.
  Header always set X-Content-Type-Options nosniff
</IfModule>

它为所有支持它的浏览器设置nosniff报头。

除了IE11之外，我想为所有支持它的浏览器设置nosniff头。我在CentOS上使用Apache/2.2.23。有可能吗？

提前谢谢。

Answer 1

简短的回答:你不能

长篇大论:理论上，你应该能够使用以下内容：

BrowserMatch "MSIE 11.0;" allow_sniff
Header set X-Content-Type-Options: nosniff env=!allow_sniff

然而，IE11故意掩盖它的用户代理假装是别的什么东西。有关更多信息，请参见本文：http://blogs.msdn.com/b/ieinternals/archive/2013/09/21/internet-explorer-11-user-agent-string-ua-string-sniffing-compatibility-with-gecko-webkit.aspx

所以，最终，以上这些都是行不通的。相反，您应该修复您需要更改IE11行为的原因(修复您的dupal模块，或者对所有浏览器关闭任何嗅探)。

Answer 2

您可以通过修改Apache设置或.htaccess文件并向其添加以下行来启用它：

标头集X-内容-类型-选项

微软的这篇文章解释了:减少MIME类型的安全风险( http://msdn.microsoft.com/en-us/library/ie/gg622941(v=vs.85).aspx )