在server块中配置严格mime映射，核心是显式声明types块、搭配charset_types强制utf-8、设default_type为application/octet-stream兜底，并通过curl验证响应头；需只保留业务所需后缀，避免依赖或修改全局mime.types。
在 Server 块中配置严格的 MIME 类型映射，核心是**显式声明 types 映射 + 强制 charset + 避免 fallback 混乱**。不是靠默认 mime.types 或 location 内覆盖，而是用可维护、可验证的方式精准控制每个扩展名的 Content-Type 和字符集。
明确 types 块，只保留业务需要的映射
不要依赖或修改全局 mime.types，直接在 server 块内用 types 声明最小可用集合。这样避免被升级覆盖，也防止其他后缀意外匹配干扰。
- 语法必须规范：类型名在前，空格分隔后缀，每行末尾带分号
- 只写你实际用到的格式，比如现代前端常用：
types {<br> application/javascript js mjs;<br> text/css css;<br> application/json json json5;<br> image/avif avif;<br> image/webp webp;<br> font/woff2 woff2;<br> application/wasm wasm;<br>} - 不写未使用的后缀（如 .exe、.bat），避免误配导致安全风险
搭配 charset_types，确保文本类资源带 utf-8
仅设 charset utf-8; 不够——它只对 charset_types 列出的 MIME 类型生效。必须显式指定哪些类型要加 charset 参数。
- 在同一个 server 块中添加：
charset utf-8;<br>charset_types text/html text/css application/javascript application/json text/plain;
- 这样返回
.js文件时，Content-Type 就是application/javascript; charset=utf-8，而不是仅application/javascript - 避免浏览器按 ISO-8859-1 解析 UTF-8 中文注释或字符串，造成乱码或语法错误
设置 default_type 为安全兜底
未命中 types 映射时，Nginx 默认不设 Content-Type。浏览器可能按 text/plain 渲染二进制文件，或拒绝执行 JS。必须主动控制 fallback 行为。
- 推荐配置：
default_type application/octet-stream; - 这个值表示“未知类型一律当二进制下载”，比 text/plain 更安全——不会让浏览器尝试解析 wasm、woff2 等非文本资源
- 不要设成
text/plain或application/json这类有语义的类型，容易引发解析失败或 XSS 风险
验证是否生效，用 curl 直查响应头
配置完必须 reload，且不能只看配置文件有没有写错，要确认真实响应头是否符合预期。
- 检查关键资源：
curl -I https://yoursite.com/main.js→ 应看到Content-Type: application/javascript; charset=utf-8curl -I https://yoursite.com/theme.css→ 应看到Content-Type: text/css; charset=utf-8curl -I https://yoursite.com/icon.avif→ 应看到Content-Type: image/avif（无 charset） - 如果返回
text/plain或缺失 charset，优先排查：
– types 块是否拼错后缀（比如wof2少一个 f）
– charset_types 是否漏了application/javascript
– default_type 是否被 location 块意外覆盖
