accept属性跨平台生效需双写mime类型和扩展名且无空格，如accept="application/pdf,.pdf"；js校验须结合文件名后缀与文件头魔数；后端必须用二进制流魔数识别真实类型并重命名文件。
accept 属性在安卓和 iOS 上为什么经常失效
安卓 WebView 和旧版 iOS Safari 对 accept 的解析逻辑不一致：安卓倾向信任 MIME 类型（如 application/pdf），但常忽略扩展名写法（如 .pdf）；iOS 则相反，对 image/* 响应良好，但 .heic 或 .webp 几乎无反应。更麻烦的是，华为 EMUI、小米 MIUI 自带浏览器可能直接跳过该属性——这不是 bug，是它们的 WebView 实现选择。
accept 值怎么写才能跨平台生效
单靠 MIME 或单靠扩展名都容易漏掉某类设备。必须双写且严格格式化：
-
accept="application/pdf,.pdf"✅ 同时覆盖标准 MIME 和用户习惯的扩展名，逗号后**不能有空格**（accept="application/pdf , .pdf"❌ Safari 会丢弃整个值） -
accept="image/jpeg,image/png,.jpg,.png,.jpeg"✅ 显式列出常见变体，避免image/pjpeg等非标类型被忽略 -
accept="text/csv,.csv"✅ CSV 类型用扩展名更稳，因为text/csv在部分安卓机型上不触发过滤 - 避免
accept="jpg"或accept="*csv"—— 这些不是合法值，浏览器直接忽略
前端 JS 校验必须做，且不能只看 file.type
file.type 是浏览器推测字段，Windows 下双击选文件时基本为空，恶意文件改名后还能伪造该值（比如把 shell.exe 改成 report.jpg，file.type 就可能变成 image/jpeg）。真正可用的判断方式：
- 优先用
file.name.toLowerCase().endsWith('.pdf')检查扩展名（注意大小写） - 关键业务加文件头校验：用
FileReader读前 4 字节，PDF 必须是%PDF（十六进制25 50 44 46），PNG 是\x89PNG - 设了
multiple就必须遍历event.target.files每一项，不能只校验第一个 - 提示要具体：
"已跳过 scan.tif 和 data.zip"，别只说“文件类型不支持”
后端校验不是可选项，而是唯一可信防线
所有前端限制（accept、JS 校验、甚至禁用右键）都能被 curl、Postman 或 DevTools 绕过。服务端收到文件后必须：
- 完全忽略请求头里的
Content-Type和前端传来的扩展名 - 读取文件二进制流前若干字节，用魔数识别真实类型——Node.js 推荐
file-type，Python 用python-magic - 确认 MIME 类型与白名单一致（例如
.jpg文件必须对应image/jpeg，不能是image/jpg） - 保存时重命名文件，剥离原始扩展名，由服务端按检测结果附加安全后缀（如
upload_abc123.jpg→upload_abc123.jpeg） - 上传目录禁用执行权限，静态资源走 CDN 或独立域名
最常被忽略的一点：即使你用了 file-type 库，也得确认它是否支持你要校验的格式（比如新版 HEIC、AVIF 或 WebP）。不查文档直接上，等于没校验。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
