web-dev-qa-db-ja.com

.cssおよび.pngファイルにX-Content-Type-Optionsを使用する方法は？

初期化ファイルにこのコードがあります。

header("Content-Security-Policy: default-src 'none'; script-src 'self';
        connect-src 'self'; img-src 'self'; style-src 'self' 'unsafe-inline';");
header("X-XSS-Protection: 1; mode=block");
header('X-Content-Type-Options: nosniff');

このコードは機能しますが、私の問題は、ドキュメント（localhost）でのみ機能し、.cssおよび.pngファイルが機能しないことです。

スクリーンショットは次のとおりです。

ドキュメント（localhost）

enter image description here

。cssファイル

enter image description here

。pngファイル

enter image description here

.cssおよび.pngファイルへのヘッダー応答を作成するにはどうすればよいですか？ dareboostは次のメモをくれました：

リソースタイプの自動検出を無効にします

MIMEスニッフィングによる悪意のある悪用から身を守ります。

MIMEタイプスニッフィングの説明

Internet ExplorerおよびChromeブラウザーには、Webリソースのタイプを自動的に検出する「MIMEタイプスニッフィング」と呼ばれる機能があります。これは、たとえば、コンテンツがスクリプトである場合、イメージとして識別されたリソースをスクリプトとして読み取ることができることを意味します。

このプロパティにより、悪意のある人がファイルをWebサイトに送信して悪意のあるコードを挿入できます。このようなアクティビティを制限するには、MIME-Typeスニッフィングを無効にすることをお勧めします。

MIMEタイプスニッフィングを防ぐ方法

「X-Content-Type-Options」HTTPヘッダーを構成します。 「nosniff」値に関連付けられた各リソースの応答に「X-Content-Type-Options」HTTPヘッダーを追加します。これにより、リソースのこのような誤った解釈を防ぐことができます。

このページでは、誤解される危険性がある次のリソースを構成する必要があります。

http://www.example.com/path/style.css
http://www.example.com/path/logo.png
http://www.example.com/path/icon.png

どうすればいいですか？

phpapache2
2
Dumb Question

これらのHTTP応答ヘッダーは、サーバー構成（または.htaccessファイル）で設定できます。たとえば、X-Content-Type-Options HTTP応答ヘッダーを.cssおよび.pngファイルにのみ適用するには、次を試してください。

<FilesMatch "\.(css|png)$">
    Header set X-Content-Type-Options nosniff
</FilesMatch>
0
MrWhite