DetectContentType，JavaScript 支持 ?
https://github.com/golang/go/blob/c3931ab1b7bceddc56479d7ddbd7517d244bfe17/src/net/http/sniff.go#L21
http Method DetectContentType背后是否有不支持JavaScript的真正原因？
uj5u.com熱心網友回復：
正如檔案注釋所述，DetectContentType實作了https://mimesniff.spec.whatwg.org/中描述的演算法，該演算法不檢測 JavaScript。那么問題就變成了：為什么不呢？
答案在規范的介紹中給出：
當“誠實”的服務器允許潛在的惡意用戶上傳他們自己的檔案，然后使用低權限 MIME 型別提供這些檔案的內容時，這些安全問題最為嚴重。例如，如果服務器認為客戶端會將貢獻的檔案視為影像（因此將其視為良性），但用戶代理認為內容是 HTML（因此有權執行其中包含的任何腳本），則攻擊者可能能夠竊取用戶的身份驗證憑據并發起其他跨站點腳本攻擊。（當然，惡意服務器可以在 Content-Type 標頭欄位中指定任意 MIME 型別。）
本檔案描述了一種內容嗅探演算法，該演算法仔細平衡了用戶代理的兼容性需求與現有 Web 內容施加的安全約束。
將不受信任的輸入標記為 JavaScript（或者即使是！）可能會導致安全災難。
轉載請註明出處，本文鏈接：https://www.uj5u.com/qukuanlian/411185.html
標籤：
上一篇：為BoE網站使用Pandasread_csv時引發HTTP錯誤500
下一篇：回傳首頁FastAPI