accept属性仅优化文件选择界面，无法阻止非法上传；必须后端校验文件头（magic bytes）以确保真实类型，且表单需设enctype="multipart/form-data"。
accept 属性不能阻止非法文件上传，它只影响文件选择器的默认过滤行为；真正有效的类型控制必须由后端通过文件头（magic bytes）校验完成。
accept="image/*" 为什么有时不显示 JPG 文件
浏览器对 accept 的实现不一致：部分安卓 WebView 或旧版 Safari 会忽略 MIME 类型中的参数（如 image/jpeg），甚至完全跳过解析；macOS 和 Windows 对同一扩展名上报的 MIME 可能不同（image/pjpeg vs image/jpeg），而 accept 不支持通配符或模糊匹配。
- 优先用类型组，例如
accept="image/*"比罗列多个 MIME 更稳定 - 需要精确限定时，必须同时写 MIME 和扩展名：
accept="image/png, .png, .jpg, .jpeg" - 逗号后不能有空格：
accept=".jpg,.png"✅，accept=".jpg , .png"❌（旧版 Safari 会失效） - 移动端 Safari 对 MIME 支持弱，单靠
accept="application/pdf"在 iOS 上可能完全不生效
multiple + accept 组合后，用户仍能选中非法文件
设置 multiple 和 accept 后，用户在文件选择对话框中仍可手动勾选“所有文件”，一次选中 .psd、.zip、.exe 等混合类型——accept 不会拦截，event.target.files 列表里照常包含全部文件。
- 必须在
change事件中遍历检查每一项：file.name.match(/\.(jpg|jpeg|png)$/i) -
file.type不可靠：拖拽上传时常为空字符串，Windows 下某些文件类型可能被误报为application/octet-stream - 若需禁用提交按钮，应实时统计非法文件数并提示具体文件名，例如：“已选 2 个不支持的文件（cover.psd, demo.tif）”
后端校验为什么不能只看 $_FILES['file']['type'] 或 req.file.mimetype
PHP 的 $_FILES['file']['type']、Node.js 的 req.file.mimetype 全部来自浏览器提交的 HTTP header，可被任意伪造；改个后缀名（hack.exe → safe.jpg）就能绕过所有前端检查。
立即学习“前端免费学习笔记（深入）”；
- PHP 应用
finfo_file($finfo, $tmpFile)读取文件头，而非依赖$_FILES数组 - Node.js 推荐用
file-type包解析 buffer 前 12 字节，避免手写魔数比对出错 - Java Spring 中禁用
MultipartFile.getContentType()，改用Files.probeContentType()或 Apache Tika - 服务端解析魔数性能开销极小，但若用完整 MIME 库（如 python-magic），注意初始化成本
最容易被忽略的一点：表单漏设 enctype="multipart/form-data" 会导致后端根本收不到文件字段——req.file 为 undefined、$_FILES 为空，错误信息不明确，排查时容易卡在前端 JS 逻辑里。这个属性不是可选项，是 multipart 上传的硬性前提。
