accept属性仅过滤文件选择框，不校验上传行为；必须配合前端JS校验文件名后缀和后端基于magic bytes的多重校验才能保障安全。
accept属性只在浏览器选择文件时起过滤作用
accept 是 <input type="file"> 的原生 HTML 属性，它不校验文件内容，也不拦截上传行为，只影响文件选择对话框中默认展示哪些文件。用户点击“浏览”后，系统弹出的文件窗口会按该值过滤候选项——比如设为 "image/png, .jpg"，Windows 资源管理器或 macOS Finder 就默认只列出 PNG 和 JPG 文件。
但注意：这个过滤是可绕过的。所有主流浏览器（Chrome、Firefox、Safari、Edge）都提供“全部文件”下拉选项，用户点一下就能看到并选中任意扩展名的文件。所以 accept 本质是体验优化，不是安全机制。
accept参数写法必须区分 MIME 类型和扩展名
写错格式会导致完全失效。常见错误包括：
- 混用斜杠和点号：
"image/.png"（错误）→ 应为"image/png"或".png" - 漏掉点号：
"csv"（无效）→ 必须写成".csv" - MIME 类型拼写错误：
"application/vnd.openxmlformats-officedocument.spreadsheetml.sheet"很长，少一个字母就失效 - 大小写敏感：
"IMAGE/PNG"在部分 Android 浏览器中不识别，推荐全小写
稳妥做法是同时提供 MIME 类型和扩展名，例如限制 Excel 文件：accept="application/vnd.ms-excel, application/vnd.openxmlformats-officedocument.spreadsheetml.sheet, .xls, .xlsx"。这样覆盖旧版 IE、新版 Chrome 和移动端 Safari 的差异。
立即学习“前端免费学习笔记（深入）”；
Shiny 中 fileInput 的 accept 参数和原生 HTML 一致
R Shiny 的 fileInput() 函数把 accept 参数直接透传给底层 <input> 标签，所以规则完全相同。但容易忽略两点：
- Shiny 不自动处理多类型字符串拼接——你传
c(".csv", ".xlsx")，它会转成accept=".csv, .xlsx"，没问题；但若写成accept=".csv;.xlsx"（分号分隔），浏览器就无法识别 - Shiny 服务端收不到
accept信息，input$upload只包含文件名、大小、临时路径，不包含原始 MIME 类型。所以即使前端限制了"image/*"，用户仍可能上传一个改名的hack.exe，后端必须用file.info()或readr::guess_encoding()再校验
真正可靠的文件类型控制必须前后端配合
仅靠 accept 就上线，等于把门锁换成贴纸。真实项目里必须做三件事：
- 前端 JS 补充校验：监听
change事件，读取e.target.files[0].type和文件名后缀，不匹配立刻input.value = ""清空 - 后端强制解析头字节：R 中可用
utils::readBin(input$upload$datapath, "raw", n = 4)检查 magic number，比依赖扩展名可靠得多 - 上传后立即重命名：把
user_upload.xls改成shiny_20260510_abc123.xlsx，切断原始文件名带来的路径遍历或 XSS 风险
最常被跳过的环节是 magic number 校验——很多人以为检查 input$upload$name 以 ".xlsx" 结尾就够了，但攻击者只要把恶意二进制文件改成 data.xlsx 就能绕过。
