歴史

IE8

  • [1] IE8 Security Part V: Comprehensive Protection - IEBlog - Site Home - MSDN Blogs ( 版) http://blogs.msdn.com/b/ie/archive/2008/07/02/ie8-security-part-v-comprehensive-protection.aspx

例

[2] 

HTTP/1.1 200 OK 
Content-Length: 238 
Content-Type: text/html 
X-Download-Options: noopen 
Content-Disposition: attachment; filename=untrustedfile.html

>>1

関連

[3] 類似した機能として、 IE6 で DownloadOptions が既に存在していました。

[4] ファイルを直接開くのを禁止してセキュリティ向上 (X-Download-Options) - 理系学生日記 () http://kiririmode.hatenablog.jp/entry/20161107/1478523100

IE では、ファイルをローカルに(明示的に)保存することなく開くという機能があります。ダウンロードリンクをクリックすると出てくるダイアログの「開く」ボタンを押下したときに働く機能ですね。

実はこの機能でファイルを開いた場合、そのファイルの内容はダウンロード元のウェブサイトのコンテキストで実行されるらしいです。悪意のあるスクリプトなんかをこの方法で開いてしまうと、インジェクションなんかが可能になるってことですね。 これを防ぐためのレスポンスヘッダが存在していて、それが

X-Download-Options: noopen

というレスポンスヘッダです。このヘッダをレスポンスに付与しておくと、ユーザは当該のファイルを直接「開く」ことができなくなり、明示的にローカルにダウンロードする他なくなります。

[7] >>6

X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Strict-Transport-Security: value
Referrer-Policy: value
X-Permitted-Cross-Domain-Policies: value
X-Download-Options: value
Accept-Ranges: bytes
X-Via-JSL: badc901,-
Cache-Control: max-age=10800
Expires: Fri, 23 May 2025 13:58:40 GMT
X-Cache: miss