來自Web伺服器的每一個文件都有對應的MIME類型（也稱為content-type），描述文件內
容的屬性，比如圖片、文件、應用程式等。最近，IE開發經理Eric Lawrence在IE官方部
落格中就MIME處理方式的變化和安全性做了詳細解釋。
http://blogs.msdn.com/b/ie/archive/2010/10/26/
mime-handling-changes-in-internet-explorer.aspx
縮 http://bit.ly/aAJ9sv
以前，某些HTML元素（特別是Link和Script）不會驗證Web服務器提供的MIME類型。例如
，即使Script的src屬性指向一個聲明為text/plain類型的文件，瀏覽器也會運行Script
腳本。Eric強調這種方式存在安全隱患：
這會導致一些安全漏洞，特別是Link元素。
比如這樣一種攻擊，惡意網站包含一個指向另一網站HTML內容的Link引用。如果
HTML內容包含常見字符，那麼可能會被惡意網站的頁面腳本訪問。這種資訊洩露
會導致跨網站請求偽造和其他攻擊（詳見Carnegie-Mellon大學的一篇論文）。
http://websec.sv.cmu.edu/css/css.pdf
在最近發佈的一個安全更新中，微軟開發團隊修改了IE6/7/8的CSS處理方式——阻止所有
跨源樣式表（cross-origin stylesheet）除非它們聲明了正確的HTTP相應頭：
Content-Type: text/css，這種保護措施可以確保Link和@IMPORT不會成為竊取其他網站
內容的幫凶。
對於IE 9來說，除了修復以上問題，在MIME處理方面還包括了三個重要的安全性變化：
1. 在IE 9標準模式下，同源樣式表也必須採用正確的text/css類型，否則會被忽略。
2. 如果伺服器端指定X-Content-Type-Options: nosniff，那麼Script元素將拒絕錯誤
的MIME類型回應，在這種情況下正確的MIME類型是
["text/javascript"、"application/javascript"、"text/ecmascript"、
"application/ecmascript"、"text/x-javascript"、"application/x-javascript"、
"text/jscript"、"text/vbscript"、"text/vbs"]。
3. 採用text/plain類型傳輸的文件，IE不會主動將其判定成另一類型。
http://www.infoq.com/cn/news/2010/10/ie-mime
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.194.176.157