nginx 安全 mime 配置需可控引入默认映射（include mime.types）、显式补充修正（自定义 types 块）和严格兜底（default_type application/octet-stream），并经语法检查、重载与 curl 验证闭环确认。
要在 Nginx 中配置安全严谨的 MIME 映射表，关键不是“替换”或“重写整个 mime.types”，而是**可控引入默认映射 + 显式补充/修正 + 严格兜底**。直接修改系统自带的 /etc/nginx/mime.types 文件风险高，升级易丢失，协作难追踪；真正安全的做法是把映射逻辑收口在你可版本管理、可审计、可复用的配置片段里。
确保默认映射被正确加载
在 nginx.conf 的 http 块顶部附近，必须有这一行：
-
include mime.types;—— 这是加载 Nginx 自带的标准映射表（如.css → text/css、.png → image/png），它提供了基础兼容性 - 该语句必须出现在
http块内，不能放在server或location中，否则无效 - 确认文件实际存在：常见路径为
/etc/nginx/mime.types或/usr/share/nginx/mime.types，可用find / -name mime.types 2>/dev/null查找
用 types 块补充现代前端格式
在 include mime.types; 之后，立即添加自定义 types 块，覆盖或新增关键类型。顺序很重要：后定义的同扩展名会覆盖前面的。
- 例如支持 ES 模块和 Web 字体：
types {<br> application/javascript js mjs;<br> font/woff2 woff2;<br> image/avif avif;<br> application/wasm wasm;<br> application/json json json5;<br>} - 扩展名拼写必须完全一致（比如
woff2不是wof2），大小写敏感（.JS不匹配js，除非用underscores_in_headers on配合其他机制） - 推荐将这段单独存为
/etc/nginx/conf.d/custom.mime，再用include /etc/nginx/conf.d/custom.mime;引入，便于备份与灰度验证
设置明确且安全的 default_type
未匹配任何扩展名时，Nginx 默认不发 Content-Type 头——这会让浏览器按 text/plain 或 application/octet-stream 处理，导致 JS 被下载、字体被拒、AVIF 不渲染。必须显式声明兜底：
-
default_type application/octet-stream;—— 最安全选择，强制未知文件以二进制流下载，避免 XSS 或误执行风险 - 若用于开发调试环境，可临时设为
default_type text/plain;，方便查看内容，但上线前务必改回 - 该指令建议放在
http块顶层，确保所有server和location都继承，避免局部遗漏
验证与生效流程不可跳过
配置不是写完就生效，每一步都需闭环验证：
- 运行
nginx -t检查语法是否合法，特别留意types块括号是否闭合、分号是否遗漏 - 执行
nginx -s reload（或systemctl reload nginx）重载配置，旧进程平滑退出 - 用
curl -I https://your.site/file.js和curl -I https://your.site/icon.woff2检查响应头中的Content-Type是否准确 - 对新扩展名（如
.vitepress）发起请求，确认返回的是application/octet-stream而非空头或text/html
