before回调是唯一能拿到真实file.type的地方，此时需调用obj.getChooseFiles()获取File数组，结合type与后缀做校验，但file.type可被伪造，仅作前端友好提示，后端必须用文件头二次校验。
layui upload 的 before 回调是唯一能拿到真实 file.type 的地方
layui 本身不提供上传前读取文件二进制头或调用后端 mime 校验的接口，file.type 是浏览器基于文件扩展名和头部推测出的 mime 类型，它只在 before 回调里可用——此时用户已选中文件、但尚未发起请求。
常见错误现象：在 done 或 error 里试图读 file.type，会发现 obj.getChooseFiles() 返回空数组，因为上传完成后 File 对象已被释放。
-
before是唯一入口：必须在这里调用obj.getChooseFiles()获取File实例数组 -
file.type可为空字符串：比如用户改了后缀（hack.exe→report.pdf），Chrome 可能返回空，Firefox 可能返回application/octet-stream - 别依赖
file.type做最终判断：它只是浏览器“猜”的结果，必须配合后端用finfo或 magic number 再校验
如何在 before 中安全读取并判断 file.type
直接读 file.type 不可靠，但结合 file.name 后缀和简单白名单，能覆盖大部分误操作场景。注意 Safari 对 WebP 等新格式识别弱，file.type 可能为 "" 或 image/x-webp 而非标准 image/webp。
- 先检查
files.length，避免空数组报错 - 遍历每个
file，优先用file.type， fallback 到file.name.split('.').pop().toLowerCase() - 匹配逻辑建议用
includes而非全等：例如['image/jpeg', 'image/jpg'].includes(file.type)✅ - 示例代码：
before: function(obj) {
var files = obj.getChooseFiles();
if (!files.length) return;
var validTypes = ['image/jpeg', 'image/png', 'image/webp', 'image/x-webp'];
for (var i = 0; i < files.length; i++) {
var type = files[i].type || '';
var ext = files[i].name.split('.').pop().toLowerCase();
if (!validTypes.includes(type) && !['jpg','jpeg','png','webp'].includes(ext)) {
layer.msg('仅支持 JPG/PNG/WebP 格式', {icon: 2});
return false;
}
}
}
acceptMime 和 exts 都不能替代 file.type 判断
acceptMime 控制的是系统文件选择框的可见性，不是文件真实类型；exts 只做后缀字符串比对，两者都发生在 before 之前，且无法获取到 File 对象本身。
-
acceptMime: 'image/webp'在 Safari 里可能完全不生效，但file.type仍可能有值（哪怕不准） -
exts: 'jpg|png|webp'允许用户把shell.php改成shell.webp绕过，而file.type在这种情况下大概率是text/x-php或空 - 真正需要精确判断（如确认 ZIP 是否真为 ZIP），必须用
FileReader读前 4 字节比对 magic number，但这会阻塞 UI，慎用
后端必须重校验 MIME，前端 file.type 仅作友好拦截
所有前端拿到的 file.type 都可被伪造或忽略。Layui 上传发给后端的仍是原始二进制流，后端必须独立解析真实 MIME。
- Laravel 示例：
'file' => 'required|file|mimetypes:image/jpeg,image/png,image/webp' - PHP 手动校验：
finfo_open(FILEINFO_MIME_TYPE)读$file->getRealPath() - Node.js 示例：
file-type库 +Busboy流式解析，避免内存溢出 - 关键点：不要在前端做“类型可信”假设，
before里的file.type只用来提示用户、减少无效请求
file.type 的价值不在“准确”，而在“及时”——它让你在点击上传按钮后、网络请求发出前就给出反馈。但凡涉及安全边界，就得交由后端用文件头+扩展名双校验兜底。 
