X-Content-Type-Options: nosniff 只能整体开关，不可动态改值；可通过 map 指令结合 add_header if= 条件语法，依据响应类型或请求特征动态决定是否添加该头。
不能直接用 map 指令动态设置 X-Content-Type-Options 响应头，因为该头只接受固定值 nosniff，不支持条件化取值——它不是“要不要加”，而是“加不加”或“加错就失效”。但你可以用 map 配合 add_header 的条件语法，实现**按请求特征决定是否注入该安全头**，从而达成“动态控制”的效果。
明确目标：不是动态改值，而是动态开关
X-Content-Type-Options: nosniff 本身没有可变参数。浏览器只认这个完整字符串，写成 nosniff （带空格）或 NOsniff 都会失效。所以所谓“动态配置”，实际是：对某些请求加这个头，对另一些不加，比如：
- 仅对 HTML、JS、CSS 类响应开启 nosniff（因它们最易受 MIME 嗅探攻击）
- 对纯 API 返回（如
application/json）可选择不加（虽无害，但非必需） - 对上传接口或调试路径临时禁用，便于开发排查
用 map 构建布尔型开关变量
在 http 块中定义一个映射，根据请求或响应特征生成 $set_nosniff 变量：
若依据上游响应的 Content-Type（推荐，更准确）：
map $upstream_http_content_type $set_nosniff {<br> ~*^(text/html|application/(javascript|ecmascript|x-javascript|json)|text/(css|javascript|ecmascript)) "1";<br> default ""; }
注意：
• 必须用 $upstream_http_content_type（proxy_pass 后才可用）
• 正则前加 ~* 忽略大小写
• default "" 表示不匹配时变量为空字符串，后续 add_header ... if=$set_nosniff 就不会生效
在 location 中条件化注入响应头
确保已启用 header 透传，并在需要的位置添加：
location / {<br> proxy_pass http://backend;<br> proxy_pass_request_headers on;<br> add_header X-Content-Type-Options "nosniff" if=$set_nosniff;<br>}
关键点：
• add_header ... if= 是 Nginx 1.7.0+ 支持的语法，只有变量非空/非零时才输出该 header
• 不要写成 add_header X-Content-Type-Options $set_nosniff —— 这会试图把 "1" 当作值，导致头内容错误
延伸控制：结合客户端或路径做精细化决策
例如，只对来自移动端且访问静态资源目录的请求启用 nosniff：
map "$http_user_agent:$request_uri" $mobile_static_nosniff {<br> ~*(iPhone|Android).*/static/ "1";<br> default ""; }
再配合：add_header X-Content-Type-Options "nosniff" if=$mobile_static_nosniff;
这样既满足安全基线，又避免对所有响应“一刀切”，尤其适合混合架构中部分服务无法保证 Content-Type 准确性的场景。
