HTML表单无法限制文件上传大小，真正有效的只有前端JavaScript校验和后端服务端强制拦截。accept仅过滤类型，maxlength等属性对file input无效；需监听change事件检查files[0].size，后端须流式读取校验并配置Nginx client_max_body_size。
HTML 表单本身不能限制上传文件大小
浏览器根本不读取 max_file_size 或类似属性——HTML 标准里压根没有这个东西。你加在 <input type="file"> 上的任何“大小限制”属性（比如 maxlength、size）对文件体积完全无效，它们只影响文本输入框长度或显示宽度。
真正起作用的只有两处：前端 JavaScript 主动校验 + 后端服务端强制拦截。缺一不可，否则用户随便改个 JS 就能绕过前端检查。
-
accept属性只能过滤文件类型（如"image/*"），不控制大小 - 浏览器开发者工具里直接删掉 JS 校验逻辑，
<input>照样能选 2GB 的视频 - 有些老教程写的
<input maxlength="1048576">是典型误解——maxlength对 file input 无意义
用 JavaScript 在提交前检查文件大小
这是唯一靠谱的前端拦截方式，核心是监听 change 事件，读取 files[0].size（单位字节）。
注意：必须在用户点击提交按钮之前触发，不能只靠表单 submit 事件——万一用户拖放文件后直接回车，可能跳过校验。
立即学习“前端免费学习笔记（深入）”；
- 示例代码片段：
document.querySelector('input[type="file"]').addEventListener('change', function(e) { const file = e.target.files[0]; if (file && file.size > 5 * 1024 * 1024) { // 5MB alert('文件不能超过 5MB'); e.target.value = ''; // 清空选择，否则下次 change 不触发 } }); -
files[0]是用户选中的第一个文件；多文件上传需遍历files类数组 - 不要用
file.size > 5e6这种写法——可读性差，团队协作时容易误判单位 - 移动端 Safari 对大文件的
size读取有时延迟，建议加防抖或提示“正在检测…”
后端必须重复校验，且不能只信 Content-Length
HTTP 请求头里的 Content-Length 可被伪造，而且 multipart/form-data 的边界符会让它和真实文件体积不一致。真正可靠的只有：接收时流式读取并累计字节数，超限立即中断连接。
- Node.js（Express + multer）：用
limits: { fileSize: 5 * 1024 * 1024 }，配合fileFilter做类型+大小双控 - PHP：检查
$_FILES['xxx']['error'] === UPLOAD_ERR_INI_SIZE或UPLOAD_ERR_FORM_SIZE，对应 php.ini 的upload_max_filesize和post_max_size - Python（Flask）：在
request.files['xxx'].read()前先用stream.seek(0, 2)获取长度，再stream.seek(0)回到开头 - Nginx 需额外配置
client_max_body_size 5M，否则大请求根本到不了你的应用层
常见错误现象和调试线索
用户反馈“选了文件点提交没反应”，或者“明明限制 5MB 却传上去 20MB”，大概率是前后端校验没对齐，或某一层被绕过。
- Chrome 控制台报错
net::ERR_CONNECTION_ABORTED→ Nginx 或负载均衡器截断了大请求，查client_max_body_size - PHP 返回空页或 500 → 检查
upload_max_filesize是否小于post_max_size（后者必须 ≥ 前者） - Express multer 报
Request aborted→ 文件超限被中间件主动断开，不是你代码抛的错 - 移动端微信内置浏览器上传失败 → 它会压缩图片再上传，但
file.size仍是原始大小，前端校验可能误杀
实际部署时，Nginx、PHP/Python/Node 配置、前端 JS 校验三者阈值必须严格一致，且后端校验逻辑不能依赖前端传来的任何“大小字段”。文件大小这件事，浏览器只负责选，不负责守门。
