Python/Tornado开发Web应用时静态JS资源MIME类型识别错误问题咨询

核心原因说明 #

浏览器校验脚本MIME的判定依据 #

浏览器对脚本资源的MIME类型校验，唯一参考标准是HTTP响应中由服务器返回的Content-Type字段值，与HTML里<script>标签上手动书写的type属性没有任何关联。
这种严格校验是浏览器内置的安全机制，用来规避MIME嗅探攻击：只要服务器明确声明资源的类型是text/plain，浏览器就不会强行将内容识别为可执行的JavaScript，哪怕文件后缀是.js，也会弹出对应的警告，部分新版本浏览器甚至会直接拦截不匹配MIME的脚本执行。
合法的JavaScript资源MIME值包括application/javascript（当前标准推荐值）、text/javascript（历史兼容值），只要服务器返回的Content-Type不在这个范围内，就会触发警告。

本地Tornado服务返回错误MIME的原因 #

Tornado的静态文件服务默认依赖Python内置的mimetypes模块，匹配文件后缀对应的MIME类型，最终生成响应头中的Content-Type值：

• 如果运行Tornado的环境中，系统层面的MIME注册没有将.js后缀映射为合法的JavaScript MIME类型，mimetypes模块就会触发兜底逻辑，返回默认的text/plain作为资源的MIME类型
• 这类问题在Windows开发环境中尤其常见，因为Windows系统的注册表会把.js文件默认关联为纯文本类型，被mimetypes模块读取后就会生成错误的响应头

外部CDN脚本无警告的原因 #

你加载的两个公共CDN资源，服务器端都提前完成了静态资源的MIME配置，会给所有.js文件返回正确的application/javascript类型响应头：

• 第一个jQuery脚本的<script>标签哪怕没写type属性，浏览器也会因为服务器返回的MIME值合法，正常加载执行
• 第二个socket.io脚本哪怕你在标签里手动写了type="text/javascript"，浏览器也不会因为这个标签属性放宽校验，本质还是CDN服务器的响应头配置正确，才没有触发警告

常见修复方案 #

• 在Tornado应用启动初始化阶段，手动给mimetypes模块补充.js后缀的正确映射，绕开系统配置的干扰，示例代码：

  import mimetypes
  mimetypes.add_type("application/javascript", ".js")
  

• 自定义继承StaticFileHandler的类，重写get_content_type方法，针对.js后缀强制返回正确的MIME值，不依赖系统的mimetypes配置

内容的提问来源于stack exchange，提问作者Robatron