javascript - 通过魔数(Magic Number)确定文件类型

Question

我必须检查文件 uploader 中的文件类型以确定文件是否是图像(jpg、png)，我决定通过使用 FileReader 读取文件的魔数(Magic Number)(前 4 个字节)来完成此操作，但我对此方法有一些疑问:

1. 这种方法安全吗？有没有办法用这种方法将非jpg文件上传为jpg？

2. 我见过具有不同魔数(Magic Number)大小的文件类型，例如 2、4、6 字节...因此，如果我必须制定一个通用方法来不仅确定图像文件类型，还确定其他文件类型，我会从文件中读取最大字节数(以确定最大魔数(Magic Number))，对吗？

Answer 1

1. 这不安全。问题不仅在于魔数(Magic Number)，还在于您尝试在客户端验证它。表单可以直接从脚本上传，绕过客户端验证。正确的方法是使用经过验证的技术验证服务器端的所有内容。

2. 对。不同的文件格式在不同的偏移量上有不同的魔数(Magic Number)。但如果你关心安全——不要相信任何东西。