推荐用 mimes，因其基于扩展名映射 MIME 类型，兼容性好；mimetypes 直接比对真实 MIME，易因 finfo 配置不一致误判。max:2048 单位是 KB（即 2MB）。
验证上传文件类型用 mimes 还是 mimetypes？
Laravel 的文件上传类型校验容易混淆这两个规则：mimes 检查的是文件扩展名映射的 MIME 类型（比如 pdf → application/pdf），而 mimetypes 直接比对服务器读取到的真实 MIME 类型。实际中更推荐用 mimes，因为 mimetypes 在某些环境（如 Windows + Nginx）下可能因 PHP finfo 配置不一致导致误判。
-
mimes:jpg,jpeg,png,pdf是最常用写法，它依赖config/filesystems.php中的mime_types映射表 - 如果用户传了
report.PDF（大写扩展名），默认会失败——Laravel 默认只认小写扩展名，需在验证前统一 strtolower() 或改用extensions规则 - 不要单独依赖
mimes做安全过滤，它只是校验层，后端仍需用Storage::mimeType()二次确认真实类型
max:2048 限制的是什么单位？
max:2048 限制的是文件大小（单位：KB），不是字节也不是 MB。这是 Laravel 文档里没明说但实际生效的规则逻辑。
- 上传一个 2.1MB 的图片，
max:2048会直接拒绝（2048 KB = 2MB） - 如果想限制为 5MB，得写
max:5120，而不是max:5 - 这个值还会受 PHP 配置影响：
upload_max_filesize和post_max_size必须 ≥ 对应的max:值，否则请求根本到不了 Laravel 验证层，直接返回 413 或空白页 - 前端加
accept属性（如accept="image/*,.pdf"）只是体验优化，不能替代后端校验
如何让多个上传字段共用同一套格式规则？
用自定义验证规则或复用 Rule::required()->file()->mimes(...)->max(...) 是最稳妥的方式，避免在每个字段重复写一长串。
- 把公共规则抽成变量：
$commonFileRules = [ 'required', 'file', 'mimes:jpg,jpeg,png,pdf', 'max:2048' ];
- 然后在控制器中复用：
Validator::make($request->all(), ['avatar' => $commonFileRules, 'id_card' => $commonFileRules]) - 如果不同字段有差异（比如 PDF 允许更大），就拆成基础规则 + 差异部分：
array_merge($baseRules, ['max:5120']) - 注意：不要用
required_if或required_unless组合file规则，某些旧版本 Laravel 会出现验证跳过问题，建议显式判断字段是否存在再动态加规则
上传后怎么确认文件真没被篡改？
Laravel 的 mimes 和 max 只校验请求时的元信息，文件落地后必须重新检查。常见疏漏点：
- 用
Storage::disk('public')->putFile('uploads', $request->file('doc'))后，立刻调用Storage::disk('public')->mimeType($path)再比对一次 - 对 PDF、Office 文档这类可嵌入脚本的类型，额外用
shell_exec('file -b --mime-type '.escapeshellarg($fullPath))辅助判断（仅限 Linux 且开启 shell 执行） - 不要信任
$request->file('x')->getClientOriginalExtension()，它来自客户端，可伪造；真正可靠的只有服务端解析出的 MIME 和二进制头（如用getimagesize()验证图片） - 如果项目启用了
APP_ENV=local，记得测试时关掉php.ini的file_uploads=Off，否则本地调试永远 500
上传格式限制的核心不是“写对规则”，而是理解每条规则在哪一层起作用、哪一层可能被绕过。多数线上问题都出在 PHP 配置和 Laravel 验证之间的缝隙里。
