レスポンスヘッダーに X-Content-Type-Options: nosniff を追加する

railsのedgeではデフォルトで入る(config.action_dispatch.default_headersに入れられる)が安定版(3.2.8)にはまだ入っていないので，暫定対応． https://github.com/rails/rails/pull/7390

configでデフォルトヘッダーを設定する方法がないためApplicationControllerのfilterでやるしかない?汚い…

application_controller.rb

class ApplicationController < ActionController::Base
  after_filter :set_default_headers
  private
  DEFAULT_HEADERS = {
      'X-Frame-Options' => 'SAMEORIGIN',
      'X-XSS-Protection' => '1; mode=block',
      'X-Content-Type-Options' => 'nosniff'
  }.freeze

  def set_default_headers
    DEFAULT_HEADERS.each_pair do |key, val|
      response.headers[key] = val
    end
  end
end