HTML中使用accept属性限制文件上传类型的方法与绕过防范-html教程-PHP中文网

accept属性仅过滤文件选择框，不能阻止上传；其值需组合mime类型与扩展名（如"image/jpeg,.jpg"），前端须二次校验文件名与magic bytes，后端基于文件头、白名单及重命名才是唯一安全边界。

html中使用accept属性限制文件上传类型的方法与绕过防范

accept属性只能过滤文件选择框，不能阻止上传

它只是让浏览器在弹出文件选择对话框时默认隐藏不匹配的文件，比如 accept="image/*" 会让 macOS Finder 或 Windows 文件资源管理器默认只显示图片类文件。但用户点一下“所有文件”、拖拽任意文件进来、或者用 DevTools 删掉 accept 属性，照样能选中 .exe、.html 甚至 .php。Safari 在 iOS 上还可能直接禁用相册入口，导致用户根本选不了图——这不是 bug，是它的行为逻辑。

accept值怎么写才真正生效

靠单一 MIME 类型或单一扩展名都容易失效，必须组合写：

accept="application/pdf,.pdf" 比只写 accept="application/pdf" 更稳，尤其对安卓 WebView 和旧版 Safari
accept="image/jpeg,image/png,.jpg,.jpeg,.png" 显式覆盖常见变体，避免 image/pjpeg 被忽略
accept="application/vnd.openxmlformats-officedocument.spreadsheetml.sheet,.xlsx" 是 .xlsx 的正确双保险写法，单写 .xlsx 在部分 Edge 版本里会失效
逗号后不能有空格：accept="text/plain,.csv" ✅，accept="text/plain , .csv" ❌（旧版 Safari 解析失败）

前端 JS 必须做二次校验，但别信 file.type

file.type 是浏览器根据扩展名或文件头推测的，可能为空、不准，甚至被伪造。比如把 malware.exe 改名成 report.jpg，file.type 就可能变成 image/jpeg。

html-to-pptx-converter

使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。

下载

优先用 file.name 提取扩展名：file.name.split('.').pop().toLowerCase()
需要更高可靠性时，用 FileReader 读前 12 字节比对 magic number（如 PDF 开头是 %PDF，PNG 是 \x89PNG）
设了 multiple 后，event.target.files 里可能混着合法与非法文件，必须遍历每一项检查
别只提示“类型错误”，要明确列出问题文件："已选 2 个不支持的文件：data.zip、scan.tif"

后端才是唯一安全边界，且必须校验文件头

前端所有限制都可以被绕过，accept 对后端零影响。用户用 curl、Postman 或改 DOM 都能发任意文件过来。真正有效的校验必须包含：

不信任 Content-Type 请求头（可伪造），用服务端库解析二进制流：Node.js 用 file-type，Python 用 python-magic，Java 用 Apache Tika
检查文件头（magic bytes），比如 .xlsx 必须以 PK\x03\x04 开头
验证扩展名是否与真实 MIME 一致（防伪装：.jpg 文件内容其实是 HTML）
保存时剥离原始扩展名，用随机名 + 白名单后缀（如 abc123.pdf），上传目录禁止执行权限