必须用POST方法+enctype="multipart/form-data"，二者缺一不可；否则文件不会被编码发送，后端request.files等对象为空，无法获取二进制数据。
必须用 POST 方法 + enctype="multipart/form-data"，否则文件根本不会被编码发送，后端收不到二进制数据。
form 标签的两个属性缺一不可
只写 <input type="file"> 是没用的，表单容器本身必须显式声明传输协议：
-
method="post"：GET 无法携带文件体，浏览器会直接忽略type="file"字段 -
enctype="multipart/form-data"：这是唯一能正确分块打包文件内容的编码方式；设成application/x-www-form-urlencoded或漏掉它，req.files（Node.js）、$_FILES（PHP）、request.files（Flask）全为空 -
action路径要和后端接口完全匹配，注意末尾斜杠差异（如/upload≠/upload/）
input type="file" 的 name 属性决定后端怎么取值
后端不是靠文件名或 ID 识别上传字段，而是靠 name 的字符串键名：
- 单文件：
<input type="file" name="avatar">→ 后端用req.file('avatar')（multer）、$_FILES['avatar']（PHP）、request.files.get('avatar')（Flask） - 多文件：
<input type="file" name="documents" multiple>→ 必须用req.files('documents')（multer array 模式）、$_FILES['documents']['name'][0]（PHP 手动遍历）、request.files.getlist('documents')（Flask） - 别用空格、点号或特殊符号命名
name，比如name="user.profile"在某些框架里会被截断或解析失败
前端 accept 和 JS 校验只是“提示”，不能替代后端检查
accept="image/*" 只影响文件选择对话框的过滤界面，用户改后缀或绕过 JS 仍可提交任意类型文件：
立即学习“前端免费学习笔记（深入）”；
- JS 大小校验示例（仅作友好提示）：
document.getElementById('file').addEventListener('change', e => { if (e.target.files[0]?.size > 5 * 1024 * 1024) { alert('文件不能超过 5MB'); e.target.value = ''; } }); - 真正有效的限制必须在后端：比如 Express 中用 multer 的
limits: { fileSize: 5 * 1024 * 1024 }，Flask 中设MAX_CONTENT_LENGTH = 5 * 1024 * 1024 - 不要信任
file.type（MIME），它由浏览器根据扩展名推测，可被轻易伪造；后端需读取文件头（magic bytes）做真实类型判断
最容易被忽略的是：表单里混有其他文本字段（如 <input name="title">）时，它们会和文件一起打在同一个 multipart 请求里——但很多初学者只处理 req.files，忘了从 req.body 或 $_POST 里取普通字段，导致业务逻辑缺失。
