可通过Nginx map指令基于响应MIME类型（如application/javascript、text/css等）动态设置X-Content-Type-Options: nosniff头，对静态资源强制启用，对特定路径（如/widget/）或动态接口可绕过，并需确保Content-Type已明确设置且add_header使用always参数。
可以通过 Nginx 的 map 指令，根据请求路径、文件扩展名、MIME 类型推测或来源等特征，动态设置 X-Content-Type-Options: nosniff 头（或不设置），从而在保障安全的同时避免对合法资源（如某些 JSONP 接口、内联 SVG、动态生成的 HTML 片段）造成干扰。
基于文件扩展名控制 nosniff 头
静态资源（如 JS、CSS、HTML）应强制启用 nosniff，而部分动态接口（如 /api/xxx 或无扩展名的响应）可能返回非标准 MIME 但需浏览器按声明类型解析，此时可跳过该头。
示例配置：
map $sent_http_content_type $set_nosniff {
default "";
~^(application/javascript|text/css|text/html) "nosniff";
~^image/ "nosniff";
}
再在 server 或 location 块中添加：
add_header X-Content-Type-Options $set_nosniff always;
说明：
– 使用 $sent_http_content_type（响应已确定的 MIME）比 $http_accept 或 $request_uri 更可靠；
– 正则匹配以 ~^ 开头表示大小写敏感的前缀匹配；
– 空字符串不会发送该 Header，Nginx 自动忽略空值。
结合请求路径排除特定接口
某些 API 路径（如 /widget/、/embed/）可能返回 HTML 片段并依赖浏览器自动 sniff 渲染，此时即使 MIME 是 text/html，也不应加 nosniff。
可叠加 map 判断：
map $request_uri $bypass_nosniff {
~^/widget/ 1;
~^/embed/ 1;
default 0;
}
map $sent_http_content_type $set_nosniff {
~^(application/javascript|text/css|text/html) "nosniff";
default "";
}
map "$set_nosniff:$bypass_nosniff" $final_nosniff {
"nosniff:1" "";
"nosniff:0" "nosniff";
"" "";
}
然后使用：
add_header X-Content-Type-Options $final_nosniff always;
注意 content-type 设置时机与 map 执行顺序
map 是在响应头生成阶段执行的，因此必须确保：
– add_header 使用 always 参数，否则对 3xx/4xx 响应无效；
– 实际 Content-Type 已由 upstream（如后端）或 Nginx 自身（如 types 模块）明确设置，否则 $sent_http_content_type 可能为空或为默认 text/plain；
– 若后端未设 Content-Type，建议先用 proxy_hide_header Content-Type + add_header Content-Type ... 显式设定，再让 map 生效。
验证与调试技巧
启用调试日志或临时添加诊断头辅助判断：
add_header X-Nosniff-Debug "$set_nosniff | $bypass_nosniff | $sent_http_content_type" always;
用 curl 验证：
curl -I https://example.com/main.js
检查是否返回 X-Content-Type-Options: nosniff，以及 X-Nosniff-Debug 值是否符合预期。上线前建议覆盖常见路径、扩展名和响应状态码做回归测试。
