X-Content-Type-Options: nosniff の効果

Heads up: nosniff header support coming to Chrome and Firefox https://github.com/blog/1482-heads-up-nosniff-header-support-coming-to-chrome-and-firefox ChromeとFirefoxでnosniffってどういうことなんだろうと思って少し調べた。 IE8から、X-Content-Type-Options: nosniff があった場合は、ファイルの中身を自動判別する機能が無効になる。htmlじゃないものが自動判別でhtmlだと誤判別されて表示されることで起こるXSSを防ぐことができる。 Internet Explorer 8 のセキュリティ Part VI: Beta 2 の更新項目 http://msdn.microsoft.com/ja-j

[willnet]

javascript/json は読み込まれないのか

[potato777]

"X-Content-Type-Options: nosniff があった場合は、ファイルの中身を自動判別する機能が無効になる。htmlじゃないものが自動判別でhtmlだと誤判別されて表示されることで起こるXSSを防ぐことができる。"

[arikui]

[]

[teramako]

『nosniffサポートという話は、IE9から加わった効果のことだった。』というかWHATWGの http://mimesniff.spec.whatwg.org/ と言ったほうが良いのでは。

[efcl]

Githubに設定されたX-Content-Type-Options: nosniff の効果について。 Githubのrawはtext/plainで返してくるので、scriptタグなどから参照すると異なるMIME typeなのでブロックされる

[raimon49]

＞GithubやGistのjsやらcssを直接参照するのは、ブラウザ次第で動かなくなるし、そもそもGithubの負荷になって迷惑になるのでやめましょう。

[nbqx69]

GithubやGistのrawはtext/plainでnoniffをつけるから、Githubのアドレスを直接参照するスクリプトやスタイルシートは、ブラウザによっては動かなくなるよという話

[aereal]

へー

[teppeis]

Firefoxはまだ対応してない https://bugzilla.mozilla.org/show_bug.cgi?id=471020