É necessário especificar o tipo de conteúdo no cabeçalho da resposta http?

Exceto pelo documento html, atualmente todos os arquivos (css, javascript e imagens) servidos no meu servidor da web não especificam content-typeno cabeçalho da resposta http. Por acaso, notei isso, pois pretendo remover o typeatributo em minha scripttag e linktag, mas me deparei com esta resposta que diz o seguinte:

O tipo MIME também é enviado pelo cabeçalho HTTP Content-Type, portanto, usar type = "text / css" seria apenas bytes extras.

css javascript http-headers

— Pergunta Overflow
fonte

Acredito que você precise especificar o Tipo de Conteúdo para que os scripts sejam executados no IE. Isso evita que usuários mal-intencionados enviem scripts para sites de compartilhamento de imagens.

— Brendon

@Brendon, obrigado por apontar as implicações de segurança. Há algum outro aspecto digno de nota, em termos de segurança, assumindo que nenhum usuário enviou conteúdo?

— Pergunta Overflow

Tem certeza de que seu servidor não está enviando um Content-Typecabeçalho para esses arquivos? Se você estiver vendo a resposta dos arquivos exibidos no cache do navegador , provavelmente não verá um Content-Typecabeçalho.

— precisa

A maioria dos servidores envia os tipos MIME corretos por padrão, portanto, a menos que você defina explicitamente o servidor para não enviá-lo, aposto que os arquivos estão sendo enviados com o tipo MIME correto.

— usar o seguinte

@ w3d, obrigado pelo seu comentário. Depois de verificar novamente, percebo que o que estou lendo é realmente do cabeçalho da solicitação de um 304 not modifiedarquivo. Não é exatamente o cache, mas o tipo de conteúdo é descartado do cabeçalho. Desabilitando o cache, tudo parece normal novamente.

— Pergunta Overflow

Sim . Pelo protocolo HTTP, cláusula 7.2.1 :

“Qualquer mensagem HTTP / 1.1 que contenha um corpo da entidade DEVE incluir um campo de cabeçalho do tipo de conteúdo que defina o tipo de mídia desse corpo. Se e somente se o tipo de mídia não for fornecido por um campo Tipo de conteúdo, o destinatário PODE tentar adivinhar o tipo de mídia através da inspeção de seu conteúdo e / ou da (s) extensão (s) de nome do URI usada para identificar o recurso. ”

Portanto, sim, os cabeçalhos de resposta devem conter Content-Typecabeçalho para qualquer dado de resposta (chamado "entidade-corpo" no protocolo, geralmente "arquivo" em linguagem comum). Se for omitido, o navegador poderá fazer suas próprias suposições sobre o tipo de dados que obteve. Em muitos contextos, o risco de suposições erradas é insignificante, mas isso não é uma boa desculpa para violar o protocolo.

Atributos como type=text/csse type=text/javascriptnão foram necessários, exceto por algumas especificações formais ou mesmo úteis. Mesmo que um servidor envie incorretamente, por exemplo, dados CSS sem Content-Type, os navegadores tratarão os dados como CSS se <link rel=stylesheet ...>foi o elemento que causou a solicitação. É o relatributo que importa nesse caso.

— Jukka K. Korpela
fonte