application/octet-stream 与 MIME 类型体系

知识归属

application/octet-stream 属于 MIME 类型（现称 Media Type，媒体类型） 知识，是 HTTP/Web 协议的基础概念：

定义标准：RFC 6838（Media Type Specifications），前身 RFC 2045/2046（MIME 最初为电子邮件设计）
注册机构：IANA 维护官方 Media Types 注册表
载体：HTTP 的 Content-Type 请求/响应头（如 Content-Type: application/json; charset=utf-8）
作用：告诉接收方（浏览器、客户端、中间件）这段数据的性质和处理方式。浏览器按 MIME 类型而非文件扩展名决定如何处理 URL

type/subtype[;parameter=value]

顶级类型	含义	示例
`text`	人类可读文本	`text/plain`、`text/html`、`text/css`
`image`	图像	`image/png`、`image/jpeg`、`image/svg+xml`
`audio`	音频	`audio/mpeg`、`audio/ogg`
`video`	视频	`video/mp4`、`video/webm`
`application`	二进制/应用数据（兜底大类）	`application/json`、`application/pdf`、`application/zip`
`multipart`	复合体	`multipart/form-data`（文件上传）、`multipart/byteranges`

任意二进制数据流，即「未知类型」或「不愿声明类型」的默认兜底值：

Content-Type	浏览器默认行为
`text/html`、`image/*`、`application/pdf` 等已知类型	内联渲染/预览
`application/octet-stream`	提示下载而非打开

由此衍生两个工程技巧：

强制下载：给响应设 application/octet-stream（或配合 Content-Disposition: attachment; filename=...）
强制预览：对象存储（S3/OSS）上传时必须显式指定正确的 Content-Type（如 application/pdf、image/png），否则默认存成 octet-stream，浏览器访问就变成下载而不是预览

浏览器会对声明类型与实际内容做 MIME sniffing（内容嗅探）。关闭嗅探防内容伪装攻击：

X-Content-Type-Options: nosniff

文件下载接口：后端返回文件流时用 octet-stream + Content-Disposition: attachment
对象存储：S3/OSS SDK 上传时若不指定 Content-Type，会按扩展名推断，推断不出即 octet-stream；决定「浏览器预览 vs 下载」的关键字段
curl 上传：curl -F 'file=@a.bin' 推断不出类型时默认发 application/octet-stream；可显式指定 curl -F 'file=@a.json;type=application/json'
nginx/静态服务：mime.types 未收录的扩展名回落到 octet-stream（default_type 可配）
multipart 上传：multipart/form-data 的每个 part 各自带 Content-Type，识别不出的 part 即 octet-stream

类型	场景
`application/json`	API 请求/响应
`application/x-www-form-urlencoded`	表单默认编码
`multipart/form-data`	文件上传
`text/plain`	纯文本（文本类的兜底）
`application/pdf` / `application/zip`	PDF / 压缩包
`application/wasm`	WebAssembly
`application/octet-stream`	未知二进制（兜底）

上传到对象存储的图片/PDF 打不开、只会下载 → 检查对象的 Content-Type 是不是被存成了 octet-stream
接口返回 JSON 但 Content-Type 写错 → 部分客户端/网关解析异常
JavaScript 的 MIME 类型历史混乱（application/javascript、text/javascript 并存）；RFC 9239 已统一为 text/javascript 为唯一官方类型，浏览器加载 ES module 时也只认它
判断文件真实类型不能只信 Content-Type/扩展名（都可伪造），安全场景要做内容检测（magic number / 文件头）