如何阻止Cloudflare设置x-content-type-options: nosniff响应头？

Cloudflare侧设置排查 #

• 进入SSL/TLS > Edge Certificates页面，确认HSTS配置中X-Content-Type-Options已完全关闭。注意即使HSTS处于禁用状态，部分全局默认规则可能仍会自动注入该头。
• 检查Rules > Page Rules列表，排查是否存在强制添加X-Content-Type-Options: nosniff的规则——这类规则优先级高于HSTS相关配置，会持续发送该头。
• 查看Rules > Transform Rules > Modify Response Headers，若有单独配置的添加/保留X-Content-Type-Options的规则，直接删除或禁用。

Apache 2.4适配配置 #

由于Apache 2.4移除了DefaultType，为避免浏览器类型识别障碍，同时尝试抵消Cloudflare头的影响，可在Apache主配置文件或站点目录的.htaccess中添加以下配置：

# 为无Content-Type标识的资源设置默认类型，辅助浏览器识别
<IfModule mod_mime.c>
    DefaultType text/plain
</IfModule>

# 尝试覆盖响应头（仅当Cloudflare未强制拦截时生效）
Header always unset X-Content-Type-Options
Header always set X-Content-Type-Options ""

注意：若Cloudflare处于代理模式（橙色云朵状态），服务器端的覆盖头可能被Cloudflare规则覆盖，因此优先清理Cloudflare侧的相关配置是关键。

验证方法 #

修改设置后等待1-5分钟让Cloudflare缓存刷新，再执行curl -vv https://your-domain.com/your-resource-path命令，检查响应头确认X-Content-Type-Options已不再存在。

内容的提问来源于stack exchange，提问作者ccpizza