使用v-file-input的accept属性后，仍需在服务器端校验文件扩展名吗？

当然要做服务器端校验，前端的accept属性只能做基础的用户体验优化，完全替代不了服务器端的安全校验，原因如下：

• 前端限制可轻松绕过：浏览器的accept只是在文件选择框里默认过滤指定类型，但用户可以手动切换到“所有文件”选项上传任意文件；甚至直接修改本地文件的扩展名，就能轻松绕过前端的类型限制。
• 防范恶意文件上传：攻击者常把恶意程序（比如脚本、病毒）伪装成允许的扩展名（比如把.exe改成.docx），前端根本识别不了这种伪装，只有服务器端同时校验文件扩展名和实际文件内容（比如文件头、MIME类型），才能有效拦截风险。
• 避免前端失效带来的业务问题：如果用户禁用了JavaScript，或者遇到浏览器兼容性问题，前端的accept限制会直接失效，服务器作为数据接收的最后一道防线，必须自己校验才能保证上传文件符合业务要求，避免后续流程出错。

举个简单的思路：服务器接收文件后，先提取文件扩展名，判断是否在允许的列表（.docx、.txt、图片类扩展名）里；同时读取文件的前几个字节（文件头），确认文件实际类型和扩展名匹配，比如图片文件的文件头会对应JPEG、PNG等标识。

内容的提问来源于stack exchange，提问作者user761100