网站图片音频上传除JPG、PNG、GIF、MP3外需校验的扩展名有哪些

以下分图片、音频两类列你需要补充校验的扩展名，同时附必要的安全提示：

需补充校验的图片类扩展名 #

• WebP：当前主流浏览器全支持的高压缩率格式，用户上传占比逐年升高，基本属于必支持的范畴
• AVIF：新一代开源图片压缩格式，压缩率比WebP更高，已经在安卓、Chrome生态大面积普及
• HEIC/HEIF：苹果设备拍照的默认存储格式，大量苹果用户上传照片会用到
• BMP：Windows平台传统无压缩位图格式，部分老设备导出的图片会用这个格式
• TIFF：设计、印刷领域常用的无损格式，有专业需求的用户会上传
• SVG：矢量图格式，特别提醒：SVG可内嵌恶意JS脚本，如果你要支持SVG上传，必须做脚本过滤，不要直接返回原文件给前端渲染，也可以直接把SVG加入黑名单拦截
• JPEG XL、APNG、ICO：根据你的站点用户群体决定是否支持，APNG是动图格式、ICO是图标专用格式

需补充校验的音频类扩展名 #

• AAC：比MP3压缩率更高、音质更好的有损格式，苹果生态、短视频平台常用，M4A后缀的文件大多封装的就是AAC编码音频
• WAV：无压缩音频格式，录音、剪辑领域用户常用
• FLAC：开源无损压缩音频格式，音乐爱好者上传音频常用
• ALAC：苹果无损音频格式，苹果设备用户导出的音频会用到
• OGG、OGG/Vorbis：开源有损音频格式，部分安卓设备、开源平台常用
• WMA：Windows旧版系统自带的音频格式，部分老用户的存量音频会用这个格式
• AMR：手机录音默认的低码率格式，用户上传录音片段经常会用到
• APE：无损压缩音频格式，部分音乐爱好者的存量音频会用

重要提醒：只校验文件扩展名很容易被恶意用户绕过，比如把exe文件改后缀成jpg上传。建议你同时校验文件的魔术头（文件开头的二进制标识），比如PNG的文件头是89 50 4E 47，MP3的文件头是FF FB/FF F3/FF F2，从文件内容层面确认格式合法性，避免安全风险。不需要支持的格式直接加入黑名单拦截即可，减少不必要的存储和带宽消耗。

内容的提问来源于stack exchange，提问作者Abdul Rafay