accept属性仅前端提示，不构成安全限制；必须用英文逗号分隔、扩展名带点号（如.pdf）、MIME类型规范书写（如image/png），空格会导致值被丢弃，移动端需显式列出类型，服务端必须通过magic bytes校验真实MIME。
accept 属性怎么写才生效
accept 属性只影响文件选择对话框的默认过滤，不构成任何安全限制。它生效的前提是写法正确，否则浏览器直接忽略。
- 必须用英文逗号分隔多个值，
accept="image/png, .pdf"合法；accept="image/png , .pdf"中的空格会让第二个值变成" .pdf"（带前导空格），被丢弃 - 扩展名必须带点号：
.jpg有效，jpg无效；MIME 类型如image/jpeg可以，但不能混写成jpg, image/jpeg - 移动端 Safari 对
audio/*、video/*支持弱，建议显式列出常用类型，比如accept="video/mp4, video/webm" - SVG 要写
.svg+xml（标准 MIME），而不是.svg；为兼容旧环境，可同时写.svg, image/svg+xml
为什么 file.type 和 file.name 都不可信
JS 里读 input.files[0].type 或 input.files[0].name 只能辅助提示，绝不能用于判定真实类型。
-
file.type是浏览器根据扩展名或头部推测的，拖拽上传时常为空字符串；用户改后缀名（evil.exe → safe.jpg）后，type会变成image/jpeg，完全失真 -
file.name可被任意篡改，且 Windows 下常含路径（如C:UsersXpic.jpg），用file.name.split('.').pop()提取扩展名前必须先file.name.replace(/^.*[\/]/, '')清路径 - 真正可靠的前端校验只有两项：大小（
file.size > 5 * 1024 * 1024）和扩展名白名单（仅作体验反馈，非拦截依据）
form 表单提交失败的常见硬伤
很多“上传不了”问题根本不是 accept 或 JS 的锅，而是表单本身没配对。
- 漏掉
enctype="multipart/form-data"：后端收不到req.file或$_FILES，Express 下报req.file is undefined，PHP 下$_FILES为空，但控制台无错误提示 - method 不是
post：GET 提交无法携带文件数据，浏览器静默丢弃input type="file"字段 - 没设
name属性：<input type="file">没 name，后端连字段名都找不到，更别说取值 - 服务端框架未启用 multipart 解析：例如 Express + multer 但没挂载中间件，或 Koa-body 未配置
multipart: true
后端校验真实 MIME 的最低要求
accept 和 JS 检查全是纸老虎，服务端必须读文件头（magic bytes）才能确认类型。
立即学习“前端免费学习笔记（深入）”；
- 绝不能只看
req.headers['content-type']或req.file.originalname—— 这俩全可伪造 - Node.js 推荐用
file-type库（读 buffer 前 12 字节），比手写魔数匹配稳；避免用path.extname()做判断 - Python 用
python-magic或filetype，PHP 用finfo_file($finfo, $tmpFile)，别用$_FILES['file']['type'] - Java Spring 中禁用
MultipartFile.getContentType()，改用Files.probeContentType()或 Apache Tika
accept 是 UI 辅助，JS 是体验优化，后端魔数校验才是唯一可信防线——三者缺一不可，但信任层级完全不同。
