在 Symfony 6.4 中限制用户上传指定类型文档需服务端校验为主：1. 表单层用 Assert\File 配置 mimeTypes（如 PDF/Word/Excel 等）并依赖 fileinfo 扩展识别真实 MIME；2. 控制器可选扩展名校验作辅助；3. 必须启用 PHP fileinfo 扩展，否则 MIME 校验失效。
在 Symfony 6.4 中限制用户只能上传指定类型文档，核心是**服务端校验 + 表单配置 + 文件解析辅助判断**，不能仅靠前端 MIME 类型或扩展名——这些都可被绕过。
1. 表单层：配置 mimeTypes 和/或 mimeTypesMessage
在表单类型（如 FileType）中明确声明允许的 MIME 类型：
use Symfony\Component\Form\Extension\Core\Type\FileType;
use Symfony\Component\Validator\Constraints as Assert;
$builder->add('document', FileType::class, [
'constraints' => [
new Assert\File([
'mimeTypes' => [
'application/pdf',
'application/msword',
'application/vnd.openxmlformats-officedocument.wordprocessingml.document',
'application/vnd.ms-excel',
'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet',
'text/plain',
],
'mimeTypesMessage' => '请上传 PDF、Word、Excel 或纯文本文件',
]),
],
]);
注意：mimeTypes 校验依赖 PHP 的 finfo_open()（fileinfo 扩展），它基于文件内容“魔数”识别真实类型，比扩展名可靠得多。
2. 控制器层：补充扩展名校验（可选但推荐）
MIME 类型校验已足够，但为增强语义和兼容旧客户端，可在控制器中加一层扩展名白名单：
- 获取上传文件对象：
$file = $request->files->get('document'); - 提取扩展名：
$extension = $file->getClientOriginalExtension(); - 检查是否在允许列表：
in_array(strtolower($extension), ['pdf', 'doc', 'docx', 'xls', 'xlsx', 'txt'])
⚠️ 此步不可替代 MIME 校验，仅作辅助提示或日志记录。
3. 配置层：确保 fileinfo 扩展已启用
Symfony 的 Assert\File 依赖 PHP 的 fileinfo 扩展。若未启用，mimeTypes 校验会退化为仅检查扩展名，失去安全性。
检查方式（命令行）：php -m | grep fileinfo
如无输出，请在 php.ini 中取消注释：extension=fileinfo
4. 进阶：自定义约束（如限制 Office 文档版本）
若需更细粒度控制（例如只允许 .docx 不允许 .doc），可写自定义验证器，读取 ZIP 内部结构或调用外部工具（如 libreoffice --headless 转换检测），但对大多数业务场景属于过度设计。
