accept文件限制不是安全校验：上传类型要在服务端再检查

文件选择框可用accept提示允许的类型，但不能代替上传验证。本文说明扩展名、MIME和实际内容的检查职责。

上传头像只允许图片，不应只在文件选择框加上accept。这个属性主要指导选择器展示哪些文件，用户或程序仍可能提交其他内容。界面提示与服务端验证需要分别实现。

操作步骤

先根据业务列出允许格式、大小与像素范围，在输入框中配置相应提示。收到上传后，服务端独立检查体积、扩展名与可识别的实际格式，并按业务重新处理图片。生成自己的文件名，把原始名称只当展示信息；上传目录应限制执行能力，不要让用户文件变成可运行脚本。

怎样确认处理正确

用正常图片、改扩展名文件、超大文件和空文件测试，确认拒绝时有清楚原因且不残留公开文件。客户端MIME声明也可能不可靠，不能单独作为依据。验收应覆盖直接请求上传接口的情况，避免只通过浏览器选择器测试。处理失败时保留必要日志，但不要记录用户文件的敏感内容或暴露服务器绝对路径。

参考资料

资料核对日期：2026年10月28日。以下为官方资料综合整理与操作建议，不代表已经对读者的环境完成实测。

MDN accept

OWASP文件上传建议