今天在做安全检测的时候，发现某网站提供了用户上传文件的接口，并且支持访问该文件。

处于安全考虑，网站域名被我隐藏掉了，网站是需要用户登录才能上传文件的，上传文件后会返回文件的url地址，这个url地址是不需要token的，任何人都可以访问。

如图：

第一反应就是，那我岂不是写什么数据都可以！我写个XSS脚本，然后通过浏览器访问，XSS攻击！

可是当我用浏览器访问时，悲催的一幕发生了：

并没有出现弹窗，XSS注入失败。

第一反应，服务器对于浏览器访问，做了html转义，所有XSS代码都被转义了。通过浏览器查看源码，发现代码好好的，并没有被转义。

再接着找，发现这个接口的header里面有：
Content-Type: text/plain

浏览器遇到text/plain类型，会将内容当做文本显示出来，而我们一般访问网页header应该是：
Content-Type: text/html

虽然没有攻击成功，但是有个想法，我们为什么要用Content-Type，很多时候url地址文件是有后缀的，这个会不会冲突？

上网一查，发现有人问了同样的问题，而且答案竟然也是很神奇！答案会在下面给出。

参考网址：
XSS, Extensions and Content-Types

写这篇文章的哥们目的很明确，输出用户输入的内容时，如何更有效地防范XSS。他对不同的Content-Type、文件扩展名（Extension）、浏览器进行了测试。

yes——表示浏览器可以执行JavaScript
no——表示浏览器不可以执行JavaScript

在一致性测试中，Content-Type和Extension都是保持一致的，此时XML格式是可以触发JavaScript脚本执行的。

不论Content-Type是什么，所有扩展全部设置为.html。

结果表明，对于所有html结尾的文件，浏览器会首先检测Content-Type，并不关心文件后缀。

统一Content-Type为text/html，而文件扩展使用不同的格式。

全部都会解析JavaScript，唯一一个就是当后缀是图片时，IE浏览器不会解析。忽略IE的这个傻逼行为，我们可以得到结论，浏览器重度依赖Content-Type。

再做一个类似实验，只是这次把Content-Type设置成text/plain。

最后，附上Content-Type和文件扩展映射表：