exts参数必须用竖线分隔、全小写、不带点，仅做文件名后缀字符串匹配，不校验文件内容；需与accept和acceptMime配合使用才具备完整安全控制能力。
exts 参数必须用竖线分隔且小写，不能带点
layui 的 exts 只做文件名后缀的字符串匹配，不读文件内容。它要求你写的值是纯小写、不含 .、用 | 连接的字符串，比如 exts: 'pdf|docx|xlsx'。写成 exts: 'PDF|.pdf' 或 exts: 'pdf, docx' 都会失效。
常见错误现象：用户仍能选中 .exe 文件，或拖入 .zip 后出现在预览列表里 —— 因为 exts 本身不控制文件选择框，只在选完后校验；它也不区分大小写，但匹配逻辑是严格字符串相等，所以大小写不一致就绕过了。
使用场景举例：
- 只允许上传 PDF 和 Excel：
exts: 'pdf|xlsx' - 支持多种图片格式：
exts: 'jpg|jpeg|png|gif|webp' - ZIP/RAR/7z 压缩包：
exts: 'zip|rar|7z'
accept + acceptMime 才真正影响系统弹窗可见文件
accept 本身只是个开关，只能设为 "images"、"file"、"video"、"audio" 四个固定值，它不识别具体后缀。真正让 Windows/macOS 文件选择框只显示 PDF 的，是 acceptMime。
例如想让用户点“选择文件”时只看到 PDF：
-
accept: 'file'（必须配，否则acceptMime不生效） -
acceptMime: 'application/pdf'（注意不是pdf或file/pdf）
多个类型用逗号+空格分隔：acceptMime: 'application/pdf, application/vnd.openxmlformats-officedocument.spreadsheetml.sheet'。Safari 对 WebP 支持弱，建议写成 image/webp, image/x-webp。
兼容性影响：Chrome 最全，Firefox 次之，Safari 最保守。上线前务必实测目标浏览器弹窗是否真过滤。
exts 单独用没用，必须和 acceptMime 配合才完整
只设 exts: 'pdf'，用户依然能在文件选择框里看到并选中 report.txt —— 因为 acceptMime 没配，默认还是 accept: 'images'，系统根本没过滤文本类文件。
只设 acceptMime: 'application/pdf' 但漏了 accept: 'file'，某些版本 Layui 会忽略该配置，弹窗恢复显示全部文件。
推荐最小安全组合：
accept: 'file'acceptMime: 'application/pdf'exts: 'pdf'
三者缺一不可：acceptMime 控制系统级可见性，exts 提供前端二次校验和提示，accept 是 acceptMime 生效的前提。
before 回调里才能读真实 MIME 类型，防文件名伪装
用户把 hack.exe 改成 document.pdf，exts 和 acceptMime 都会放行。这时唯一能拿到浏览器推测的 MIME 类型（file.type）的地方，是 before 回调。
示例：拒绝 type 不是 application/pdf 的 “PDF” 文件：
before: function(obj) {
var files = obj.getChooseFiles();
if (files.length && files[0].type !== 'application/pdf') {
layer.msg('请上传真实的 PDF 文件', {icon: 2});
return false;
}
}
注意：file.type 由浏览器根据文件头或扩展名推测，不可全信，但比 exts 强得多。如需精确校验（比如确认 ZIP 是否真为 ZIP），得用 FileReader 读前 4 字节比对 magic number。
真正容易被忽略的是：before 返回 false 才能同步阻断，choose 里 return 无效；而且多文件上传时，只要一个文件不满足，整批都会被拦下 —— 你甚至拿不到完整的 obj.getChooseFiles() 列表。
