MIME koklama ve X-Content-Type-Options: nosniff açıklaması

API rotaları ve statik dosya rotaları dahil tüm yanıtlara uygulanması için next.config.js'de X-Content-Type-Options: nosniff'i ayarlayın.

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "X-Content-Type-Options", value: "nosniff" },
        ],
      },
    ];
  },
};

nginx üzerinden proxylenen tüm yanıtlara uygulanması için server bloğuna direktifi ekleyin.

add_header X-Content-Type-Options "nosniff" always;

nosniff, her yanıt doğru bir Content-Type başlığı taşıdığında en etkilidir. Kullanıcı yüklü dosyalar için uygun bir türle ve uygulamayla aynı kaynak yerine ayrı bir kaynak ya da depolama etki alanından sunun; böylece bir dosya çalışsa bile kullanıcılarınızın oturum çerezlerine erişemez.

Uzantı kontrolleri atlatılabilir. Dosyanın sihirli baytlarını sunucu tarafında incelemek için file-type (npm) gibi bir kütüphane kullanın ve depolama katmanına ulaşmadan önce izin verilen güvenli türler listesiyle eşleşmeyen her şeyi reddedin.

import { fileTypeFromBuffer } from "file-type";

const ALLOWED = new Set(["image/jpeg", "image/png", "image/webp", "image/gif"]);

async function validateUpload(buffer: Buffer): Promise<void> {
  const type = await fileTypeFromBuffer(buffer);
  if (!type || !ALLOWED.has(type.mime)) {
    throw new Error("Upload rejected: unsupported file type");
  }
}