accept 属性仅影响文件选择对话框筛选，无法限制上传行为；需用“MIME+扩展名”双保险写法（如 accept="application/pdf,.pdf"），禁用空格，且后端必须校验文件内容与类型一致性。
accept 属性根本不能限制上传行为，它只影响文件选择对话框的默认筛选——写错 MIME 类型、漏掉扩展名、忽略浏览器差异，都会导致用户根本选不到目标文件。
accept 值怎么写才在 Chrome/Safari/Edge 都生效
浏览器对 accept 的解析规则不一致：Chrome 对扩展名容忍度高，Safari（尤其 iOS）更依赖标准 MIME 类型，Edge 则在某些版本里会忽略带空格的逗号分隔。必须用“MIME + 扩展名”双保险写法：
-
accept="image/png,image/jpeg,.png,.jpg,.jpeg"比单写accept="image/*"更可控，能排除.psd、.ico等干扰项 -
accept="application/pdf,.pdf"必须同时写，否则 iOS Safari 可能完全不显示 PDF 文件 -
accept="application/vnd.openxmlformats-officedocument.spreadsheetml.sheet,.xlsx"是 .xlsx 的唯一可靠组合，单写.xlsx在安卓 WebView 中常失效 - 逗号后绝对不能有空格：
accept="text/plain,.csv"✅，accept="text/plain , .csv"❌（旧版 Safari 直接丢弃整个属性）
为什么写了 accept=".pdf" 却选不出 PDF 文件
这不是你代码的问题，是浏览器实现层面的限制：
- 部分系统（如 macOS）对扩展名匹配支持弱，
.pdf可能被忽略，只认application/pdf - 某些 PDF 文件实际报出的 MIME 是
application/x-pdf或空字符串，accept不做模糊匹配，也不支持通配符 - 自定义上传组件（如 Element Plus
el-upload）可能没把accept透传给底层，用 DevTools 检查 DOM 是否真渲染了带accept的原生 input - iOS Safari 对
accept="application/*"类写法基本无效，必须显式列出具体类型
前端 JS 校验时别信 file.type，优先看 file.name
file.type 是浏览器根据文件头或扩展名推测的，不可靠——重命名 report.exe 为 report.jpg 后，file.type 可能变成 image/jpeg，但内容仍是可执行文件：
Wechat Article Html
下载
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
- 用
file.name.toLowerCase().endsWith('.pdf')比file.type === 'application/pdf'更稳定 - 需要更高可靠性时，读取前 4–8 字节做 magic number 匹配：
%PDF（PDF）、\x89PNG（PNG）、PK\x03\x04（ZIP/XLSX） - 批量上传时，
event.target.files里的每一项都得单独校验，accept不会自动过滤掉其中的非法文件 - 禁用提交按钮前，建议明确提示：“已选 1 个不支持的文件（xxx.psd）”，而不是只弹“文件类型错误”
后端才是唯一可信的防线
所有前端手段（accept、JS 校验、隐藏 input）都能被绕过。curl、Postman、DevTools 修改 HTML、拖拽上传……用户有无数种方式跳过限制：
- Node.js 不要用
req.file.mimetype，改用file-type库解析 buffer 前 12 字节 - Python 别信
request.files['file'].content_type，用python-magic读临时文件流 - Java Spring 禁用
MultipartFile.getContentType()，改用Files.probeContentType()或 Apache Tika - 即使 MIME 和扩展名都匹配，也要检查逻辑一致性：比如
.jpg文件的真实 MIME 必须是image/jpeg或image/jpg，否则就是伪装文件
真正容易被忽略的是：文件存储路径权限和 CDN 配置。上传目录若开启执行权限，或静态资源走同一域名未隔离，一个通过所有校验的 .html 文件就能直接触发 XSS。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
