MIME-Typ-Suche

MIME (Multipurpose Internet Mail Extensions) Typen, auch als Medientypen oder Content-Typen bezeichnet, identifizieren das Format einer Datei oder eines Dokuments. Sie folgen dem Format type/subtype — zum Beispiel text/html, application/json, image/png. HTTP verwendet sie im Content-Type Header, um Clients mitzuteilen, wie die Response-Nachricht interpretiert werden sollte. Browser verwenden MIME-Typen, um zu entscheiden, ob eine Datei angezeigt, heruntergeladen oder ausgeführt werden soll.

Der HTTP Content-Type Header gibt den MIME-Typ der Ressource im Response-Body an. Beispiel: Content-Type: application/json teilt dem Client mit, dass der Body JSON ist. Content-Type: text/html; charset=utf-8 teilt HTML mit UTF-8-Kodierung mit. Für Uploads gibt der Request Content-Type: multipart/form-data ein Datei-Upload-Formular an. Das Setzen des falschen Content-Type führt zu Fehlinterpretation durch Browser und Sicherheitsproblemen (MIME-Sniffing).

MIME-Sniffing ist, wenn Browser den deklarierten Content-Type ignorieren und den tatsächlichen Typ aus dem Inhalt selbst ableiten (z. B. durch Suche nach Magic Bytes). Dies wurde historisch verwendet, um falsch konfigurierte Server zu handhaben, ist aber ein Sicherheitsrisiko — ein Angreifer kann eine .jpg bedienen, die der Browser als HTML interpretiert und Skripte ausführt. Verwenden Sie den X-Content-Type-Options: nosniff Header, um MIME-Sniffing zu deaktivieren und Browser zu zwingen, den deklarierten Content-Type zu respektieren.

application/octet-stream ist der MIME-Typ für beliebige Binärdaten ohne spezifischen Typ. Browser reagieren normalerweise darauf, indem sie die Datei herunterladen, anstatt sie anzuzeigen. Es wird häufig als Fallback verwendet, wenn der spezifische Binärtyp unbekannt ist. Verwenden Sie für bekannte Binärtypen (PDF, ZIP, ausführbar) stattdessen den spezifischen MIME-Typ — application/pdf, application/zip, application/vnd.microsoft.portable-executable.

Historisch wurden beide verwendet, aber text/javascript ist nun der registrierte Standard für JavaScript (RFC 9239, 2022). application/javascript war kurzzeitig die bevorzugte Form, ist aber jetzt als veraltet gekennzeichnet. Verwenden Sie text/javascript für den Content-Type von JavaScript-Responses. Für type-Attribute in Script-Tags werden type="module" oder kein type-Attribut bevorzugt — type="text/javascript" ist in HTML5 redundant.