Question

我遇到了在静态文件（js，css，jpg，gif，..）上设置标题“ X-Content-Type-Options：nosniff ”的问题。。）在我的Amazon S3存储桶上。

当我尝试添加它时，它告诉我：“用户定义的元数据键必须以x-amz-meta开头。”

如何做到这一点？我应该“ x-amz-meta-X-Content-Type-Options ”

提前致谢！

Answer 1

用户定义的元数据确实必须以x-amz-meta-*开头，但这不会帮助您 - 当提取对象时，它们也会返回作为x-amz-meta-*标头，浏览器无法识别x-amz-meta-X-Content-Type-Options。

S3对不以x-amz-meta-*开头的标头的支持非常有限。 Content-Type和Content-Disposition以及Content-Encoding有效，但大多数其他人都没有。

由于this support forum post表示（并且测试确认）是否将这些标头添加到上传中（直接使用S3 API时），它们将被忽略。它们没有存储，也没有随响应一起返回。

一个已知但未记录的例外是X-Robots-Tag，S3确实接受并将随响应一起返回，尽管如果您使用API添加它，AWS控制台不会让您编辑它。

应尽快提供的一种可能的解决方法是Lambda@Edge，这是Lambda和CloudFront之间的集成，其中Lambda函数在CloudFront网络中运行，并且可以修改进出CloudFront的请求和响应标头。当然，CloudFront与S3完美集成，因此一旦Lambda @ Edge普遍可用，这可能是一个可行的选择。

我测试了这个（我报名参加了Lambda @ Edge的预览。我还没有正式回复说我已被授予访问权限，但它似乎正在运行。）

使用此Lambda函数代码：

'use strict';
exports.handler = (event, context, callback) => {
    const response = event.Records[0].cf.response;
    const headers = response.headers;
    headers['X-Content-Type-Options'] = ['nosniff'];
    callback(null, response);
};

...给出了这个回应......

$ curl -v http://dxxxexample.cloudfront.net/robots.txt
* Hostname was NOT found in DNS cache
*   Trying x.x.x.x...
* Connected to dxxxexample.cloudfront.net (x.x.x.x) port 80 (#0)
> GET /robots.txt HTTP/1.1
> User-Agent: curl/7.35.0
> Host: dxxxexample.cloudfront.net
> Accept: */*
>
< HTTP/1.1 200 OK
< Content-Type: text/plain
< Content-Length: 324
< Connection: keep-alive
< Date: Tue, 10 Jan 2017 20:38:33 GMT
< Last-Modified: Tue, 10 Jan 2017 17:13:36 GMT
< ETag: "dbe2f9a267e8ef192f0fdf0c888da01c"
< Cache-Control: no-cache
< Accept-Ranges: bytes
* Server AmazonS3 is not blacklisted
< Server: AmazonS3
< Via: 1.1 xxxxxxxxxx.cloudfront.net (CloudFront)
< X-Content-Type-Options: nosniff
< X-Cache: Miss from cloudfront
< X-Amz-Cf-Id: xxxxx
<
User-agent: *
Disallow: /

......所以这似乎是一种可行的解决方法。

我将此功能配置为触发＆＃34;查看器响应＆＃34; （触发器触发以允许在从CloudFront向浏览器返回响应之前修改响应）但实际上它可能会触发＆＃34; Origin Response，＆＃34;要求它运行频率较低（假设，与上面的例子不同，你没有像我在测试中那样使用Cache-Control: no-cache。我使用/robots.txt只是因为我碰巧已经拥有这与CloudFront和Lambda一起设置在一个桶中 - 显然这个文件不是X-Content-Type-Options的特别有趣的应用程序，但正如你所看到的，这确实有用。）

我不知道Lambda @ Edge何时会从预览中发布。

如果您想将此作为S3本身的功能请求提交，您可以联系您的AWS账户代表（如果您有），或在AWS支持论坛上发布相关信息。（我不隶属于AWS）。

如何在Amazon S3上设置“X-Content-Type-Options：nosniff”？

1 个答案: