如何在 Amazon S3 上设置 "X-Content-Type-Options : nosniff"？

Question

我在静态文件（js，js， css、jpg、gif、...）在我的 Amazon S3 存储桶上。

当我尝试添加它时，它对我说："User-defined metadata keys must start with x-amz-meta-."

如何做到这一点？我应该做“x-amz-meta-X-Content-Type-Options”

提前致谢！

Answer 1

User-defined 元数据确实必须以 x-amz-meta-* 开头，但这对您没有帮助——它们也是 returned 作为 x-amz-meta-* headers 当 object 被抓取时， x-amz-meta-X-Content-Type-Options 将不会被浏览器识别。

S3 对不以 x-amz-meta-* 开头的 headers 的支持非常有限。 Content-Type 和 Content-Disposition 和 Content-Encoding 是有效的，但大多数其他人不是。

如 this support forum post 所示（并且测试确认）如果将此类 headers 添加到上传中（当直接使用 S3 API 时），它们将被简单地忽略。它们不会被存储，也不会 return 与响应一起使用。

一个已知但未记录的异常是 X-Robots-Tag，S3 接受并将 return 响应，尽管如果您使用 API.

一种可能很快可用的解决方法是 Lambda@Edge，它是 Lambda 和 CloudFront 之间的集成，其中 Lambda 函数运行在 CloudFront 网络中并且可以修改请求和响应 headers 进出 CloudFront...当然，CloudFront 与 S3 集成得很好，所以一旦 Lambda@Edge 普遍可用，这可能是一个可行的选择。

我对此进行了测试（我注册了 Lambda@Edge 的预览版。我还没有正式听说我已被授予访问权限，但它似乎正在运行。）

使用此 Lambda 函数代码：

'use strict';
exports.handler = (event, context, callback) => {
    const response = event.Records[0].cf.response;
    const headers = response.headers;
    headers['X-Content-Type-Options'] = ['nosniff'];
    callback(null, response);
};

...给出此响应...

$ curl -v http://dxxxexample.cloudfront.net/robots.txt
* Hostname was NOT found in DNS cache
*   Trying x.x.x.x...
* Connected to dxxxexample.cloudfront.net (x.x.x.x) port 80 (#0)
> GET /robots.txt HTTP/1.1
> User-Agent: curl/7.35.0
> Host: dxxxexample.cloudfront.net
> Accept: */*
>
< HTTP/1.1 200 OK
< Content-Type: text/plain
< Content-Length: 324
< Connection: keep-alive
< Date: Tue, 10 Jan 2017 20:38:33 GMT
< Last-Modified: Tue, 10 Jan 2017 17:13:36 GMT
< ETag: "dbe2f9a267e8ef192f0fdf0c888da01c"
< Cache-Control: no-cache
< Accept-Ranges: bytes
* Server AmazonS3 is not blacklisted
< Server: AmazonS3
< Via: 1.1 xxxxxxxxxx.cloudfront.net (CloudFront)
< X-Content-Type-Options: nosniff
< X-Cache: Miss from cloudfront
< X-Amz-Cf-Id: xxxxx
<
User-agent: *
Disallow: /

...所以这似乎是一个可行的解决方法。

我将此函数配置为在 "Viewer Response" 上触发（触发器触发以允许在响应从 CloudFront return 发送到浏览器之前修改响应）但实际上它可能会触发在 "Origin Response," 上要求它运行的频率较低（假设，与上面的示例不同，您没有像我在测试中那样也使用 Cache-Control: no-cache。我使用 /robots.txt 只是因为我碰巧已经将它与 CloudFront 和 Lambda 一起设置在一个存储桶中——显然这个文件对于 X-Content-Type-Options 来说并不是一个特别有趣的应用程序，但正如您所看到的，它确实有效）。

我不知道什么时候发布 Lambda@Edge 的预览版。

如果您想将此作为 S3 本身的功能请求提交，您可以联系您的 AWS 客户代表（如果有的话），或者 post 在 AWS 支持论坛上联系。（我不隶属于 AWS）。

如何在 Amazon S3 上设置 "X-Content-Type-Options : nosniff"？

How to setup "X-Content-Type-Options : nosniff"on Amazon S3?

security

header

amazon-s3

mime-types