解釈してしまう場合があったりします。付けることが定石とされています。良く知られた振舞いだと思うんですが、今日ぼくが知ったのは「ブラウザで直接ファイルを開かないようにすることで、セキュリティを向上させる」という方法でした。ファイルをローカルに(明示的に)保存することなく開くという機能があります。ダウンロードリンクをクリックすると出てくるダイアログの「開く」ボタンを押下したときに働く機能ですね。実はこの機能でファイルを開いた場合、そのファイルの内容はダウンロード元のウェブサイトのコンテキストで実行されるらしいです。悪意のあるスクリプトなんかをこの方法で開いてしまうと、インジェクションなんかが可能になるってことですね。noopenというレスポンスヘッダです。このヘッダをレスポンスに付与しておくと、ユーザは当該のファイルを直接「開く」ことができなくなり、明示的にローカルにダウンロードする他なくなります。サイトに対する脅威ではなくなると。色々なヘッダがあるものだなぁと。