html - 我可以在输入接受属性中安全地使用扩展列表(不是 mimetypes)吗

Question

所以我想限制用户上传到特定文件扩展名列表的选项。这纯粹是为了让用户更容易，我也已经限制了服务器上的文件类型上传。

我有一个扩展名列表，但没有一个 MIME 类型列表。由于接受的扩展可能会发生变化，而且我没有看到任何完全可靠的方法来动态计算它们的 mime 类型(并且宁愿避免这种情况)；我只想将扩展名提供给 <input type="file"> 的“接受”属性元素。

我注意到这在 Chrome 上完全按照预期工作，但在 FF 或 IE10 中却不行(在这些浏览器中它似乎只是回退到所有文件)。

我意识到这不是标准的一部分，但是有什么方法可以在(现代浏览器)跨浏览器友好的“accept”属性中接受扩展而不是 mimetypes。我的测试用例使用了 <input type="file" accept=".doc,.docx,.bad" />

如果这不可能，最好的方法是什么？注意:我没有保证我的服务器注册表将包含我使用的所有扩展的 mimetypes，并且因为这个列表可能很长，所以手动保持一个列表是最新的 mimetypes 是相当不切实际的(并且将是我最后的手段) .

Answer 1

不，这不安全。 HTML 4.01 accept属性已定义，因此该值是以逗号分隔的媒体类型列表。即使这也是最近才实现的(例如，IE 9 不支持)。

在 HTML5 草案中，该属性(最近)被扩展为允许扩展，HTML5 CR 描述 file input even 建议:“鼓励作者在查找特定格式的数据时指定任何 MIME 类型和任何相应的扩展名。”然而，这尚未得到广泛实现。

概念上也很乱。媒体类型在设计上旨在成为指定文件和其他数据类型的标准化和互操作方式。文件扩展名只是在某些系统中以特殊方式处理的文件名的一部分，没有标准，超出了一些不太一致的常见做法。将两者混为一谈是自找麻烦，尽管这背后有一些务实的原因。

在任何情况下，在文件输入中，文件扩展名和媒体类型之间的映射是由浏览器与用户计算机的底层操作系统和文件系统一起执行的;服务器不参与。

使用 File API ，您可以在支持它的浏览器(例如 Firefox)上检查所选文件的文件名并选择文件扩展名，并在所选文件不支持时通知用户被接受。但这会在选择后发生，不会影响文件选择小部件，您只能要求用户更改选择。