单靠 file.type 无法过滤伪装文件，应结合扩展名白名单、文件头魔数校验及后端二进制验证三重防护：先用 filename 安全提取小写后缀并比对白名单；再用 filereader 读取前若干字节匹配 jpeg/png/gif 魔数；最终服务端必须忽略 content-type，直接解析二进制流并做真实 mime 与解码校验。
单靠 file.type 无法过滤伪装文件——它由浏览器推测，极易被绕过。比如把木马.exe重命名为cat.jpg，file.type 就会返回 "image/jpeg"，但实际是可执行文件。真正有效的做法是：用 file.name 提取扩展名做第一筛，再用 FileReader 读取文件头（魔数）做第二筛，最后必须交由后端二进制校验兜底。
提取并校验文件扩展名（最稳定前端依据）
扩展名来自用户真实选择的文件名，比 type 可靠得多，但需严谨处理：
- 用
filename.slice(filename.lastIndexOf('.'))安全提取后缀，避免report.tar.gz被误判为.gz - 统一转小写比对：
ext.toLowerCase() === '.jpg'，防止大小写绕过 - 使用白名单而非黑名单，例如只允许
['.jpg', '.jpeg', '.png', '.gif']，不试图“禁止.exe” - 若不匹配，立刻清空
input.value并提示“仅支持 JPG、PNG、GIF 格式”
读取文件头魔数验证真实格式（防伪造关键）
魔数是文件开头固定字节，无法通过改名伪造。前端可用 FileReader 读前 8 字节比对：
- JPEG：以
FF D8 FF开头（十六进制） - PNG：以
89 50 4E 47开头 - GIF：以
47 49 46 38（即 "GIF8"）开头 - 用
FileReader.readAsArrayBuffer()读取，再用Uint8Array解析字节 - 不匹配则拒绝上传，提示“文件内容与 JPG/PNG 格式不符”
为什么不能信 file.type 和 accept
accept="image/*" 仅影响文件选择框界面，用户点“所有文件”就能选任意后缀；file.type 在不同浏览器中表现不一——Chrome 可能返回 "image/jpeg"，Safari 可能为空，而恶意文件上传时还可手动构造请求头伪造该字段。二者均不可作为安全依据。
必须后端二次校验（不可省略）
前端所有校验都可被禁用 JS 或抓包绕过，服务端必须：
- 忽略请求头中的
Content-Type，直接读取原始二进制流 - 用
file命令、python-magic 或 ImageMagick 的identify检查真实 MIME - 对图片类文件尝试解码（如 PIL.Image.open），捕获解析异常识别伪装
- 必要时限制上传目录不可执行、移除文件头后的脚本段（如 PHP 标签）
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
