IE的MIME嗅探

最新推荐文章于 2025-06-05 18:22:22 发布

原创最新推荐文章于 2025-06-05 18:22:22 发布 · 2.7k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#ie #浏览器 #html #web

IE从SP2开始增加了MIME嗅探功能，不仅依据Content-Type判断内容类型，还会根据Response流内容判断。若Content-Type设为text/plain，但内容为HTML格式，则IE可能误判并执行HTML代码。为避免安全风险，可通过设置Content-Disposition头，指定文件名来强制浏览器下载文件而非解析。

IE从SP2开始进行了MIME嗅探的功能。以前的浏览器都是通过Content-Type来判断Resoponse流是何种类型的内容，进而调用不用的处理程序进行处理，如text/html表明接受的html代码，需要做html页面渲染，text/jpeg表明接受的图片文件，需要对接受到的数据流调用处理jpeg格式流的处理程序。
IE则在此基础上增加了对MIME的嗅探功能，不仅仅根据Content-Type来判断，而且会根据Response流的内容来进行判断。加入Content-Type的值是text/plain，在非IE浏览器中，text/plain表明的是普通的文本，浏览器只需要把内容展示出来就可以了。但是在IE中，如果Response的内容是类似如下的内容：

<html>
<script>
alert(/xss/);
</script>
</html>

    则IE执行MIME嗅探后，会判定其内容是text/html类型，此时就会执行html的渲染逻辑，在浏览器中弹出/xss对话框。
    IE的此特性可以得出，在Web程序中，返回的Response一定要具有正确的Content-Type值，避免IE的“聪明”。

    问题是：如果我们的确需要给用户提供一个普通的文件进行下载，该文件的内容含有如上格式的html相关字符，此时Content-Type的值是需要设置成text/plain(因为这个文件的确是plain的)，该怎么办呢？
    解决方式是：使用Content-disposition.
    Content-disposition格式：
         "content-disposition","attachment; filename=fname.ext"
    在filename=的后面写上文件名（如foo.txt），此时浏览器会直接弹出对话框提示用户是否保存此文件。