安全校验文件后缀名需先清理文件名（去空格、 、/等），再取最后一个点后的扩展名并转小写，最后用白名单Set比对；禁用正则全名匹配防双扩展攻击；前端校验仅为体验优化，后端必须基于文件头magic bytes二次验证。
校验文件后缀名的核心是提取文件名中的扩展名，并与允许的类型列表比对，不能只靠正则简单匹配字符串，否则容易被绕过（比如 xxx.jpg.exe 或 xxx.png%00.jpg）。关键在于：先安全获取真实扩展名，再白名单校验。
提取扩展名要可靠，别被文件名欺骗
用户上传的文件名不可信，可能伪造、含路径、大小写混杂或带 URL 编码。应使用以下方式提取：
- 用
lastIndexOf('.') + 1找最后一个点之后的部分（不是第一个），避免report.data.json被误判为data - 去掉空格和常见干扰字符（如
%00、/、）后再取扩展名 - 统一转小写比对，防止
.JPG被拒绝
用白名单校验，不用黑名单
正则本身不直接“限制上传类型”，而是配合白名单做校验。推荐写法：
const ALLOWED_EXT = new Set(['jpg', 'jpeg', 'png', 'gif', 'pdf', 'docx', 'xlsx']);
function isValidExt(filename) {
if (!filename || typeof filename !== 'string') return false;
const cleanName = filename.replace(/[ s\/]+/g, '');
const ext = cleanName.slice(cleanName.lastIndexOf('.') + 1).toLowerCase();
return ALLOWED_EXT.has(ext);
}
不要写类似 /.(jpg|png|pdf)$/i 的正则去 test 全文件名——它无法防御 malicious.exe.jpg 这类双扩展名攻击。
立即学习“Java免费学习笔记（深入）”；
前端校验只是体验优化，后端必须重复验证
JavaScript 校验可提升交互反馈（如实时提示“仅支持 JPG/PNG/PDF”），但完全不可信：
- 用户可禁用 JS、改写代码、用 curl 直传恶意文件
- 后端需重新解析原始二进制流（如读文件头 magic bytes），不能只看后缀
- 例如 PDF 文件头是
%PDF-，PNG 是‰PNG，比后缀更可靠
结合 input[type="file"] 做友好提示
可在 HTML 层初步过滤，提升用户体验：
<input type="file" accept=".jpg,.jpeg,.png,.pdf,.docx,.xlsx" onchange="handleFile(this.files)">
注意：accept 属性仅影响文件选择器弹窗的默认筛选，不阻止用户手动切换到“所有文件”并选中非法类型，仍需 JS + 后端双重校验。
不复杂但容易忽略：真正安全的文件类型控制，是「前端轻量校验 + 后端严格解析 + 存储时重命名 + 服务端 MIME 隔离」四层结合。
