mimes规则仅校验扩展名，不校验真实MIME类型；需结合finfo_file()或Laravel 9+的mimetypes规则进行内容检测，前端accept和File.type不可信，必须后端二次校验。
mimes规则只校验文件扩展名，不校验真实MIME类型
很多人以为 mimes:jpg,png,pdf 能拦住伪造的文件，其实它只是读取上传文件的 getClientOriginalExtension()，再查配置里预设的扩展名→MIME映射表。攻击者把恶意脚本改成 shell.jpg 就能绕过。
- 真实校验必须依赖文件内容（magic bytes），Laravel默认不启用
-
mimes规则依赖config/filesystems.php中的mimes配置项，没配全就漏判 - PHP 8.1+ 的
finfo_file()更可靠，但需确保fileinfo扩展已启用
用 validateWithMime + finfo 做二次校验
别指望单靠 mimes 规则，得在验证后手动补一层真实MIME检测。推荐封装成独立方法，避免每个控制器重复写。
- 先调用
$request->validate([...])过基础规则（包括mimes） - 再对上传文件调用
$file->getMimeType()—— 注意：这个方法底层用的就是finfo，不是扩展名 - 若要求严格（如只允许
image/jpeg），直接比对返回值：if ($file->getMimeType() !== 'image/jpeg') { ... } - 不要用
$file->getClientMimeType()，它来自HTTP头，完全可伪造
Laravel 9+ 可用 mimetypes 规则替代 mimes
mimetypes 是 Laravel 9.25+ 加入的原生规则，它绕过扩展名，直接调用 finfo 检测，比手写更稳。
- 写法：
'avatar' => 'required|file|mimetypes:image/jpeg,image/png' - 注意：它不接受扩展名缩写（比如不能写
jpg），必须是完整 MIME 类型字符串 - 如果项目还在用 Laravel 8 或更早，别强行升级规则，
mimetypes会报错未定义 - 搭配
max:2048一起用，防止大文件触发finfo内存溢出
上传前前端加一层 accept 和 File.type 检查只是辅助
前端的 accept="image/*" 和 JS 里的 file.type 根本不可信，浏览器不强制执行，用户禁用JS或用curl直传就失效。
-
accept只影响文件选择框的过滤界面，不影响实际上传内容 -
File.type来自文件扩展名或空字符串，不是真实检测结果 - 可以做体验优化（比如选错类型立刻提示），但所有校验逻辑必须落在后端
- 别在前端用
new FileReader()读二进制头去判断——慢、卡顿、且仍可绕过
真实MIME校验的边界很窄：既要 finfo 可用，又要拒绝扩展名与内容明显矛盾的文件（比如PDF头却叫 report.jpg）。多数项目卡在这一步就停了，但生产环境该做的还得做——毕竟上传接口一旦被利用，就是RCE入口。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
