accept属性仅前端提示，无法阻止上传；应混合写MIME类型与扩展名，如".doc,.docx,application/msword,application/vnd.openxmlformats-officedocument.wordprocessingml.document"，并务必后端校验文件魔数。
accept 属性只能提示浏览器过滤文件选择框，不能真正阻止用户上传非 Word 文件——哪怕你写得再精确，用户点一下“所有文件”就能绕过。
accept 属性该填什么值才最有效
Word 文件类型复杂，不同版本对应不同 MIME 类型和扩展名，只写 .doc 或 .docx 会漏掉大量真实 Word 文件；只写 MIME 类型又在移动端（尤其是 Safari）兼容性差。必须混合使用：
accept=".doc,.docx,application/msword,application/vnd.openxmlformats-officedocument.wordprocessingml.document"- 多个值用英文逗号分隔，不要加空格，否则部分浏览器会忽略后续值
-
.doc覆盖旧版 Word；.docx覆盖主流新版；MIME 类型覆盖系统识别准确但扩展名被改的情况 - 避免写
application/vnd.ms-word——这是过时且不被广泛支持的别名
JavaScript 检查文件名后缀比检查 type 更可靠
file.type 在拖拽上传、重命名文件、或某些浏览器中常为空字符串或返回 ""，而 file.name 始终存在。取后缀应统一转小写再比对：
Teleport tsh SSH (Identity-First SSH Access, no passwords/static keys)
下载
使用tbot机器ID身份文件配合tsh CLI，通过Teleport访问控制SSH登录托管主机或执行远程命令。
const ext = file.name.split('.').pop().toLowerCase();
if (!['doc', 'docx'].includes(ext)) {
alert('仅支持 .doc 和 .docx 文件');
return;
}
- 别用
file.name.endsWith('.docx')——大小写敏感，Resume.DOCX就会失败 - 注意：这仍可被绕过（如把
malware.exe改成report.docx），仅作前端友好提示
后端必须校验魔数（magic bytes），不是扩展名
用户改后缀毫无成本，.docx 文件开头 4 字节是 PK\x03\x04（ZIP 容器标志），.doc 开头通常是 D0 CF 11 E0（OLE 复合文档）。后端不读这几位，就等于没校验：
立即学习“前端免费学习笔记（深入）”；
- PHP：
finfo_open(FILEINFO_RAW)+finfo_buffer()比对二进制头 - Node.js：用
file-type包解析 buffer 前 12 字节，别信req.file.mimetype或originalname - Python：用
python-magic或struct.unpack()手动读前几个字节 - Spring Boot：
Files.probeContentType(path)不可靠，优先用 Apache Tika 或自定义魔数比对
最容易被忽略的是：前端 accept 和 JS 校验都只是“减少无效请求”，真正的防线永远在后端读文件头那一瞬间——只要没做这一步，所谓“只传 Word”就是一句空话。
