在web.config文件中添加“X-Content-Type-Options:nosniff”后，IE中未加载图标/图像

Question

我正在使用ASP.NET平台创建一个网页。在页面内部，我使用了一些图像/图标。出于安全考虑，我在web.config文件中使用了“X-内容-类型-选项:无嗅探”。当我在IE中部署网页时，一些图像/图标不会被渲染。但是，相同的页面在Firefox和Chrome中运行良好。

当我从web.config中删除“X-Content-Type-Options:nosniff”语句时，IE中的一切都运行得很好。但是，出于安全目的，我必须使用该语句。同时，缺少的图像/图标需要在IE中渲染。

那么，有没有人能帮我解决“X-Content-Type-Options: nosniff”这个问题呢？

提前谢谢你，

Answer 1

nosniff仅适用于"script“和"style”类型。此外，将nosniff应用于图像被证明与现有网站不兼容。

因此，"X-Content- type -Options nosniff“将绕过图像的问题，并且如果服务器提到的类型与实际文件扩展名不匹配，则浏览器角色将无法呈现图像。

请参阅：https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Content-Type-Options。

这个是：https://msdn.microsoft.com/en-us/library/gg622941(v=vs.85).aspx

Answer 2

IE使用MIME信息来确定如何处理Web服务器发送的文件。例如，当Windows Internet Explorer接收到.jpg文件时，用户将在Windows Internet Explorer窗口中看到该文件。MIME处理限制功能可确保图像MIME传递的任何内容不会被视为HTML或XML，从而有助于防止针对Web服务器的脚本注入攻击。

https://docs.microsoft.com/en-us/previous-versions/windows/internet-explorer/ie-developer/compatibility/dd565640(v=vs.85)

Answer 3

在保存位图之前添加以下行

Response.ContentType = "image/gif";