accept 属性仅查操作系统 mime 映射表，不解析文件内容；通配符如 image/* 实际覆盖范围受限于系统和浏览器实现，多格式需显式列出 mime 和扩展名，且对拖拽上传完全无效。
accept 属性根本不做“模糊匹配”
很多人误以为 accept="image/*" 是让浏览器“模糊识别图片类型”，其实它只是触发浏览器内置的 MIME 类型映射表——这个表由操作系统和浏览器共同维护，不查文件头、不解析内容、不校验 magic bytes。所谓“匹配”，本质是查表：浏览器拿到用户选中的文件路径后，询问系统“这个扩展名通常对应什么 MIME”，再比对是否在 accept 列表里。
常见错误现象：accept="image/*" 在 iOS Safari 里选不出 HEIC 文件，或 Windows 上看不到 .webp；不是匹配不准，而是系统根本没把 .heic 映射到 image/heic，或者浏览器压根没把这个 MIME 加进通配符白名单。
-
image/*实际覆盖范围取决于浏览器实现：Chrome 支持image/webp、image/avif，但 Safari 直到 2026 年仍不认image/avif，即使你显式写进去也不显示 -
video/*在部分安卓 WebView 中会漏掉video/mp4，因为系统返回的是video/x-m4v，而这个值不在标准通配规则里 - 不要依赖
audio/*涵盖所有录音格式：iOS 常把语音备忘录导出为audio/x-m4a，这个类型既不在 RFC 标准里，也不被多数浏览器的audio/*规则识别
多格式场景下必须显式列出关键 MIME + 扩展名
当你需要支持 .heic、.webp、.avif 这类现代格式时，accept 的“通配”能力基本失效。必须组合写法，且顺序有影响：浏览器优先尝试用 MIME 匹配，失败后再 fallback 到扩展名。
正确写法示例：accept="image/heic,image/webp,image/avif,.heic,.webp,.avif"
- Safari（尤其 iOS）对扩展名支持弱，但对
image/heic有一定识别能力；Chrome 则更倾向扩展名，所以两者都写才稳 - 逗号之间绝对不能有空格：
accept="image/heic, .webp"❌ —— Safari 会忽略.webp这一项 -
.heic在 macOS 系统里可能被报告为image/heic或image/heif，建议两个 MIME 都列：image/heic,image/heif - WebP 在旧版 Edge 中可能返回
image/x-webp，虽非标准，但加进去能提升兼容性
multiple 上传时 accept 完全不干预混合类型
设了 multiple 和 accept="image/*,.heic,.webp"，用户依然能在文件选择器里勾选 report.pdf、cover.psd、demo.heic 一起提交——浏览器不会剔除，event.target.files 列表里照常包含全部三项。
这意味着你必须在 change 事件里手动遍历每个 File 对象，靠 file.name 后缀判断，而不是 file.type：
-
file.type在拖拽上传、iOS、部分 WebView 下常为空字符串，不可靠 - 取后缀要小心：
file.name.split('.').pop().toLowerCase()对archive.tar.gz会错判为gz，建议用正则/\.([^.]+)$/.exec(file.name)?.[1]?.toLowerCase() - HEIC 文件在 Windows 上可能被重命名为
IMG_1234.jpg，但内容仍是 HEIC —— 前端无法检测，只能靠后端 magic bytes 校验
真正决定能否上传成功的，从来不是 accept
写了 accept="image/heic,.heic" 却传不上 HEIC 文件？大概率不是前端问题，而是后端拒绝了：Node.js 的 req.file.mimetype 可能是空，PHP 的 $_FILES['f']['type'] 可能是 application/octet-stream，因为浏览器没从系统拿到有效 MIME。
更关键的是：即使 MIME 和后缀都对得上，如果文件头不是真正的 HEIC 格式（比如把 PDF 改后缀成 .heic），accept 也完全无感——它只管“用户看到什么”，不管“文件是什么”。
最容易被忽略的一点：accept 属性对 Drop 区域（drag & drop）完全无效。用户把伪装成图片的 HTML 文件拖进来，event.dataTransfer.files 里照样有，且 file.type 很可能是空。这种场景下，连扩展名都拿不到，只能靠读取前几百字节做二进制校验。
