packet0さんの指摘の通り、<script src=…>で指定したコンテンツのContent-Typeがtext/javascriptでなくてもJavaSriptとして実行されますが、それでも text/javascrpt を指定することを強く推奨します。それはセキュリティ上の理由からです。
<script src...>に動的コンテンツを指定する典型例として JSONP があります。JSONPのContent-Typeはtext/javascriptが正ですが、text/htmlを指定していると、クロスサイトスクリプティング(XSS)となる場合があります。例えば、JSONPとして返送されるコールバック関数が下記だったとします。
callback(['<img src=# onerror=alert(1)>'])
これを返すPHPのURLをアドレスバーに指定して直接実行した場合を考えます。
Content-Type: text/html の場合 alert(1) が実行される
Content-Type: text/javascript の場合 そのまま表示される
このように、JavaScriptの中に、HTMLタグがあり、JavaScriptを実行する形になっていると、XSS脆弱性になる場合があります。
加えて、目的外の呼び出し方を防ぐことをさらに確実にするためのレスポンスヘッダとして下記があります。元々はMicrosoftが提唱したものですが、現在は主要ブラウザで有効です。
X-Content-Type-Options: nosniff
これを指定しておくと、text/htmlやapplication/jsonのコンテンツを <sciprt src=...に読ませると、エラーになります。
まとめると以下です。
- Content-Typeは正確に指定することが望ましい
- それにより、想定外の呼び出し方によりXSS脆弱性となることを防止する効果がある
- Content-Typeを厳密に解釈させるためのレスポンスヘッダとして、X-Content-Type-Options: nosniff がある
- X-Content-Type-Options: nosniff を指定した場合、<script src=... にtext/javascript以外のコンテンツを指定するとエラーになる。これはセキュリティ上の理由による