如何利用 default_type 防止非预期的二进制流下载风险-Nginx-PHP中文网

default_type 是 nginx 的兜底 mime 类型设置指令，不直接防护二进制流下载；需结合白名单、路径拦截、扩展名过滤及 x-content-type-options 等响应头协同防御。

如何利用 default_type 防止非预期的二进制流下载风险

default_type 是 Nginx 配置中用于为未明确匹配 MIME 类型的响应设置默认 Content-Type 的指令。它本身不直接“防止”二进制流下载，但若配置不当（尤其是设为 application/octet-stream 或缺失合理兜底），可能无意中放大非预期二进制流暴露或执行风险。真正起防护作用的是：结合 default_type 的显式约束 + 严格的文件类型白名单 + 响应头加固 + 路径/扩展名拦截逻辑。

以下是关键实践要点：

明确 default_type 仅作兜底，不替代类型校验

default_type 是最后手段，不是类型决策主体。它只在 types 块未匹配、且未通过 add_header Content-Type 显式设置时生效。
错误做法：default_type application/octet-stream; —— 这会让所有未知后缀（如 .php.bak、.conf、.log）以二进制流返回，极易导致源码泄露或配置文件下载。

推荐做法：

default_type text/plain;  # 优先用纯文本呈现，降低可执行/可解析风险
# 或更严格：
default_type application/json;  # 若服务只输出 JSON，强制兜底为 JSON（浏览器会报解析错，但不执行）

对静态资源路径强制限制 Content-Type 白名单

仅靠 default_type 不够，必须对敏感目录（如 /static/, /uploads/, /.git/）做精准控制：

使用 location 匹配路径，禁用动态解释，强制指定安全类型：

location ^~ /uploads/ {
    types { }
    default_type application/octet-stream;
    # 但立即拦截危险扩展
    if ($request_filename ~ \.(php|pl|py|rb|sh|exe|dll|jsp|asp)$) {
        return 403;
    }
    # 强制禁止执行，即使后缀被绕过
    add_header Content-Disposition "attachment; filename=restricted";
    add_header X-Content-Type-Options "nosniff";
}

拦截无扩展名或非常规后缀的二进制请求

攻击者常上传无后缀文件（如 shell）、空后缀（config.）或混淆后缀（image.jpg.php）。此时 default_type 会生效，但你需主动干预：

在 server 或 location 块中添加：

# 拒绝无扩展名且非已知文本类型的请求
if ($request_filename !~ \.[a-zA-Z0-9]+$) {
    return 403;
}
# 或更细粒度：只允许特定扩展名
if ($request_filename !~ \.(txt|md|csv|json|xml|png|jpg|gif|pdf)$) {
    return 403;
}