Mime Type欺骗检测：MIME类型映射是否已有现成方案？

一、现成的MIME类型映射方案 #

有几个现成资源可以直接复用，无需从零构建：

• 系统级MIME数据库：多数Linux发行版的/usr/share/mime/packages/目录下有XML格式的MIME类型定义文件，其中包含别名、父类型关联关系（比如video/x-ms-wmv属于video/x-ms-asf的子类型），可解析这些文件提取映射规则。
• file命令的magic文件：file依赖的/usr/share/misc/magic.mgc（或文本版magic）中，不少类型定义会标注关联的MIME类型，能找到video/vnd.avi与video/x-msvideo这类别名对应关系。
• 编程语言的MIME类库：比如Ruby的mime-types gem（Marcel本身依赖该库），其类型定义包含parents和aliases字段，可直接通过API获取这些关联关系，无需手动解析文件。

二、自行构建映射的难度 #

定制映射的实际难度远低于覆盖数千种MIME类型的预期：

• 无需全量覆盖：先聚焦业务高频文件类型（图片、视频、文档、可执行文件等），这类场景下的不一致案例有限，整理成本很低。
• 利用类型层次特性：只需验证file返回类型是Marcel返回类型的父类型，或属于同一大类下的别名，即可判定为有效，无需严格匹配字符串。可编写简单工具函数，先提取两类MIME的大类前缀（如image/、video/），再校验子类型的关联关系。
• 支持迭代完善：先上线基础映射表，后续遇到新的不一致案例再补充，逐步迭代优化即可，无需一次性完成全量适配。

三、大类检测的备选方案 #

如果上述方案仍觉繁琐，大类检测是务实的替代选择：

• 优势：实现简单，只需提取MIME类型的前缀（如content_type.split('/')[0]），对比Marcel与file返回的大类是否一致，就能有效阻止跨大类的恶意文件（比如将exe伪装为图片的场景）。
• 局限：无法检测同大类内的欺骗（如将恶意脚本伪装为普通文本），但如果业务对同大类风险的容忍度较高，该方案足以满足基础安全需求。

内容的提问来源于stack exchange，提问作者Mathieu EUSTACHY