accept属性需用标准mime类型或带点扩展名且逗号无空格才生效，如"image/jpeg,image/png,.jpg,.png"；file.type常为空或可伪造，应结合扩展名和文件头校验；ios safari对accept支持弱，后端必须校验魔数并重命名文件。
accept 属性怎么写才真正生效
accept 不是安全开关，只影响文件选择框的默认过滤行为。写错值会导致浏览器直接忽略整个属性，比如 accept="jpg,png" 或 accept="image/jpg" 都无效。必须用标准 MIME 类型或带点号的扩展名，且逗号后不能有空格：
-
accept="image/jpeg,image/png,.jpg,.png"✅ 同时覆盖 MIME 和扩展名，iOS Safari 和安卓 WebView 都认 -
accept="application/pdf,.pdf"✅ .pdf 上传最稳组合 -
accept="image/*"✅ 兼容性最好，但不精确（会包含 .webp、.heic 等） -
accept=".csv,text/csv"✅ CSV 推荐写法，单写text/csv在部分 Safari 版本中失效
别写 accept="*csv"、accept="csv" 或 accept="image/png, image/jpeg"（逗号后有空格 → Safari 解析失败）。
为什么 file.type 经常是空字符串
浏览器只在能可靠推断时才填充 file.type，比如从系统注册表或文件头读取成功；Windows 上双击选的文件、拖拽进来的文件，file.type 大概率为空。它还可被伪造——把 malware.exe 改名成 report.jpg，file.type 就可能变成 image/jpeg。
更可靠的判断方式是：
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
- 用
file.name.toLowerCase().endsWith('.pdf')检查扩展名（注意大小写） - 或正则：
file.name.match(/\.(pdf|docx|xls|xlsx)$/i) - 关键业务建议加文件头校验：用
FileReader读前 4 字节，PDF 是%PDF（25 50 44 46），XLSX 是PK\x03\x04
移动端 iOS Safari 的 accept 陷阱
iOS Safari 对 accept 支持极弱，尤其在旧版本中：
-
accept="image/*"能唤起相机和相册，但accept=".heic"基本无效（HEIC 不被识别） -
accept="video/*"可能只显示录制按钮，无法选已有视频文件 - 用了
capture="camera"时，accept会被完全忽略，拍出来是什么格式由设备决定 - 如果业务强依赖 JPEG，必须在 JS 中检查
file.name并提示用户重选，不能指望accept在 iOS 上兜底
后端校验为什么不可省略
前端所有限制都可被绕过：curl、Postman、DevTools 修改 DOM、拖拽 Drop 区域……服务端收到的 Content-Type 请求头、req.file.mimetype（Node.js）、$_FILES['file']['type']（PHP）全不可信。
唯一可信的是文件二进制流开头的魔数（magic bytes）：
- PNG 必须以
\x89PNG开头 - PDF 必须以
%PDF开头 - XLSX 必须以
PK\x03\x04开头 - 推荐库：Node.js 用
file-type，Python 用python-magic，PHP 用finfo_file()
校验通过后，务必重命名文件，剥离原始扩展名，由服务端按检测结果附加安全后缀；上传目录禁用执行权限，静态资源走独立域名或 CDN。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
