Cross-Site Scripting: Untrusted HTML Downloads

noopen に設定されている X-Download-Options ヘッダーを無効化し、ダウンロードされた HTML ページがそれらを提供するサイトのセキュリティ コンテキストで実行されるのを許可します。

サイトがダウンロードをユーザーに提供できるようにする必要があるとき、ダウンロードを開くオプションを使用すれば、ブラウザーで実行される提供ファイルはすべて、現在のブラウザーでサイトと同じセキュリティ コンテンツで開けることになります。
攻撃者が、ダウンロードされたファイルを操作できる場合、ブラウザーで実行される HTML またはスクリプトを挿入して Cross-site Scripting 攻撃として動作させ、現在のセッションで情報を盗んだり、操作したりできます。

例 1: 次の例は、ブラウザーで実行されている、提供されたダウンロードに対する保護を明示的に無効化しています。

var express = require('express');
var app = express();
var helmet = require('helmet');

app.use(helmet({
    ieNoOpen: false
}));
...