MIME sniffing e X-Content-Type-Options: nosniff spiegato

Imposta X-Content-Type-Options: nosniff in next.config.js in modo che si applichi a tutte le risposte, incluse le route API e le route di file statici.

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "X-Content-Type-Options", value: "nosniff" },
        ],
      },
    ];
  },
};

Aggiungi la direttiva nel tuo blocco server in modo che si applichi a tutte le risposte inoltrate tramite nginx.

add_header X-Content-Type-Options "nosniff" always;

nosniff è più efficace quando ogni risposta porta anche un header Content-Type corretto. Per i file caricati dagli utenti, servili con un tipo appropriato e da un'origin o dominio di storage separati — non la stessa origin dell'app — in modo che anche se un file venisse eseguito non possa accedere ai cookie di sessione dei tuoi utenti.

I controlli sull'estensione possono essere aggirati. Usa una libreria come file-type (npm) per ispezionare i magic byte del file lato server e rifiuta qualsiasi cosa non corrisponda a una lista di tipi sicuri consentiti.

import { fileTypeFromBuffer } from "file-type";

const ALLOWED = new Set(["image/jpeg", "image/png", "image/webp", "image/gif"]);

async function validateUpload(buffer: Buffer): Promise<void> {
  const type = await fileTypeFromBuffer(buffer);
  if (!type || !ALLOWED.has(type.mime)) {
    throw new Error("Upload rejected: unsupported file type");
  }
}