仅校验文件后缀名不安全，因后缀可伪造；应使用python-magic读取文件前2KB字节识别真实MIME类型，并与白名单及安全后缀双重校验。
为什么只校验文件后缀名不安全
用户上传的 avatar.jpg 可能是伪造后缀的恶意脚本，浏览器和前端根本不可信。后缀名由客户端控制，os.path.splitext() 拿到的 .jpg 完全没用——攻击者把 PHP 文件改成 shell.jpg 就能绕过。
真正要依赖的是文件“内容特征”，也就是 MIME Type。但注意：request.files['file'].content_type 也是客户端传来的，同样可伪造，不能直接信任。
- 必须用服务端二进制读取前几百字节，调用
python-magic或filetype库识别真实类型 - Web 框架如 Flask 的
file.content_type仅作参考，不能用于权限判断 - 即使 MIME 匹配（如
image/jpeg），也要同步检查后缀是否在白名单内——有些格式（如 SVG）虽是 image 类型，却可能含 JS
用 python-magic 安全识别真实 MIME Type
python-magic 是 libmagic 的 Python 绑定，靠 magic number 判断类型，比扩展名靠谱得多。但它默认不校验压缩包、Office 文档等嵌套结构，且 Windows 下需额外装 libmagic DLL。
- 安装：先
pip install python-magic，Windows 用户再下载 libmagicwin64 并配置MAGIC_HOME环境变量 - 读取文件时务必用
bytes模式：传给magic.from_buffer()的必须是原始字节，不是字符串或已解码内容 - 避免用
magic.from_file()直接读临时路径——文件可能被并发修改或替换成符号链接
示例关键逻辑：
import magic mime = magic.Magic(mime=True) file_bytes = file.read(2048) # 只读前 2KB 足够识别 real_mime = mime.from_buffer(file_bytes)
Flask 中同步验证 MIME + 后缀的典型写法
别在路由函数里堆逻辑。把校验拆成独立函数，明确返回 True/False 和错误信息，方便复用和测试。
- 白名单用元组定义，比如
ALLOWED_MIME = ('image/jpeg', 'image/png')，别用列表——不可变更安全 - 后缀检查必须用
pathlib.Path(filename).suffix.lower()，手动切分filename.split('.')[-1]会挂掉archive.tar.gz这种双后缀 - 如果业务允许 SVG，得额外禁止
text/xml或image/svg+xml中含<script></script>——MIME 正确不代表内容安全
核心判断示意：
if real_mime not in ALLOWED_MIME:
return "MIME type not allowed"
if Path(filename).suffix.lower() not in {'.jpg', '.png'}:
return "File extension mismatch"
容易被忽略的边界情况
很多团队卡在「测试时好好的，上线就出问题」，往往栽在这几个点上：
-
python-magic在容器里可能缺系统级 magic 数据库，导致所有文件都报application/octet-stream，要确认/usr/share/misc/magic存在且可读 - 用户上传空文件时，
file.read(2048)返回空 bytes，magic.from_buffer(b'')会返回application/x-empty，不在常见白名单里，得单独处理 - Nginx 默认限制上传体最大为 1MB，若没调
client_max_body_size，大图上传会在到达 Flask 前就被 413 拦截，此时你写的校验根本没机会执行
真实环境里，MIME 校验只是第一道坎；文件落地后要不要重命名、是否需要异步查毒、缩略图生成是否引入新解析风险——这些才是后续真正吃人的地方。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
