MIME-Sniffing und X-Content-Type-Options: nosniff erklärt

Setze X-Content-Type-Options: nosniff in next.config.js, damit er auf alle Antworten angewendet wird, einschließlich API-Routen und statischer Datei-Routen.

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "X-Content-Type-Options", value: "nosniff" },
        ],
      },
    ];
  },
};

Füge die Direktive in deinen Server-Block ein, damit sie für alle durch nginx weitergeleiteten Antworten gilt.

add_header X-Content-Type-Options "nosniff" always;

nosniff ist am wirksamsten, wenn jede Antwort auch einen korrekten Content-Type-Header trägt. Für nutzerhochgeladene Dateien: Bereitstelle sie von einem separaten Origin oder Storage-Domain — nicht demselben Origin wie deine App — damit ein ausgeführtes Skript keine Zugriff auf die Session-Cookies deiner Nutzer hat.

Erweiterungsprüfungen können umgangen werden. Verwende eine Bibliothek wie file-type (npm), um die Magic Bytes der Datei serverseitig zu prüfen, und lehne alles ab, was nicht einer Allowlist sicherer Typen entspricht.

import { fileTypeFromBuffer } from "file-type";

const ALLOWED = new Set(["image/jpeg", "image/png", "image/webp", "image/gif"]);

async function validateUpload(buffer: Buffer): Promise<void> {
  const type = await fileTypeFromBuffer(buffer);
  if (!type || !ALLOWED.has(type.mime)) {
    throw new Error("Upload rejected: unsupported file type");
  }
}