accept属性仅影响浏览器文件选择过滤，不校验文件类型；正确写法需同时提供mime类型和扩展名，如"application/vnd.openxmlformats-officedocument.spreadsheetml.sheet,.xlsx"，且后端必须校验文件头和真实类型。
accept 属性本身不校验文件类型，只影响浏览器文件选择对话框的过滤选项——它不能阻止用户绕过限制上传非法格式。
为什么 accept 选不到 .xlsx 文件
常见现象：给 <input type="file"> 设置 accept=".xlsx"，但文件选择器里依然看不到 Excel 文件，或点了没反应。
-
accept值必须是 MIME 类型（如application/vnd.openxmlformats-officedocument.spreadsheetml.sheet）或带点的扩展名（如.xlsx），但部分浏览器对扩展名支持不稳定，尤其在移动端 - Chrome 和 Edge 对
.xlsx支持较好；Safari 在 iOS 上常忽略扩展名，只认 MIME 类型 - 更稳妥写法是同时提供 MIME 类型和扩展名：
accept="application/vnd.openxmlformats-officedocument.spreadsheetml.sheet,.xlsx"
accept 和后端校验的关系
前端用 accept 只是优化体验，绝不能替代后端检查。用户可轻易通过 DevTools 修改 HTML、用 curl 上传任意文件，或拖拽非白名单文件进 Drop 区域。
- 后端必须读取文件真实
Content-Type和文件头（magic bytes），比如xlsx文件开头通常是PK\x03\x04 - Node.js 中可用
file-type库解析二进制头；Python 可用python-magic；Java 推荐Apache Tika - 即使 MIME 匹配，也要验证扩展名是否与内容一致（防伪装：把
.exe改成.xlsx上传）
常见错误写法与修复
这些写法看似合理，实际效果打折甚至失效：
- 写成
accept="xlsx"（缺点）→ 应为.xlsx - 多个类型用空格分隔：
accept=".pdf .docx"→ 必须用英文逗号：accept=".pdf,.docx" - 混用 MIME 和扩展名但没加引号：
accept=application/pdf,.pdf→ 缺少引号会导致解析失败，必须写全：accept="application/pdf,.pdf" - 以为
accept="image/*"能限制子类型 → 实际上 Safari 会放行image/svg+xml，而某些 SVG 可执行脚本，需单独拦截
真正安全的文件上传，accept 只是第一层提示，关键逻辑永远在服务端解析和拒绝。很多人卡在“前端设了 accept 就以为稳了”，结果上线后被上传恶意文件打穿。
