如何用C#获取上传文件的真实MIME类型？规避扩展名伪造风险

嘿，完全懂你的顾虑！靠文件扩展名判断MIME类型确实太容易被绕过了——恶意用户随便把.exe改成.png就能蒙混过关，这种安全隐患可不能忽视。下面给你几个在C#里直接从文件内容出发，判断真实MIME类型的靠谱方法：

绝大多数文件类型都有独特的文件签名（也就是文件开头的几个固定字节），我们只需要读取文件的前几个字节，和已知的签名库匹配就能得到真实MIME类型。

可以自己写个简单的工具类：

public static class RealMimeChecker
{
    // 这里可以根据你的业务需求，添加更多需要校验的文件类型签名
    private static readonly Dictionary<string, byte[]> _knownSignatures = new()
    {
        { "image/png", new byte[] { 0x89, 0x50, 0x4E, 0x47, 0x0D, 0x0A, 0x1A, 0x0A } },
        { "image/jpeg", new byte[] { 0xFF, 0xD8, 0xFF } },
        { "application/pdf", new byte[] { 0x25, 0x50, 0x44, 0x46 } },
        { "application/x-msdownload", new byte[] { 0x4D, 0x5A } }, // EXE文件签名
        { "text/plain", new byte[] { 0xEF, 0xBB, 0xBF } } // UTF-8 BOM的文本文件
    };

    public static string GetRealMimeType(Stream fileStream)
    {
        // 先保存流的原始位置，读完头部后要恢复，不影响后续操作
        long originalPos = fileStream.Position;
        fileStream.Position = 0;

        foreach (var (mime, signature) in _knownSignatures)
        {
            byte[] headerBytes = new byte[signature.Length];
            fileStream.Read(headerBytes, 0, signature.Length);

            if (headerBytes.SequenceEqual(signature))
            {
                fileStream.Position = originalPos;
                return mime;
            }
        }

        // 如果没匹配到已知类型，返回通用二进制类型，或者你可以结合扩展名做fallback
        fileStream.Position = originalPos;
        return "application/octet-stream";
    }
}

使用示例（以ASP.NET Core的IFormFile为例）：

// 处理上传的文件
using (var stream = uploadedFile.OpenReadStream())
{
    string realMime = RealMimeChecker.GetRealMimeType(stream);
    // 这里就可以根据真实MIME类型做权限校验了，比如只允许image/*类型
}

如果你的业务主要处理图片，可以用.NET内置的Image类尝试加载文件——如果文件是改了后缀的恶意文件，加载时会直接抛出异常，这样就能快速验证真实性：

public static bool IsAuthenticImage(Stream fileStream)
{
    try
    {
        // 尝试加载图片，能成功加载就是真实图片
        using (Image.FromStream(fileStream))
        {
            fileStream.Position = 0; // 恢复流位置
            return true;
        }
    }
    catch (Exception)
    {
        fileStream.Position = 0;
        return false;
    }
}

这个方法虽然依赖异常处理，但对图片类型的验证非常准确，适合只需要校验图片的场景。

如果不想自己维护签名库，可以用专门的NuGet包MimeDetective，它已经内置了大量文件类型的签名，支持直接检测文件内容：

// 先安装NuGet包：Install-Package MimeDetective
var inspector = new ContentInspectorBuilder()
    .UseDefaultCatalog() // 加载默认的文件类型签名库
    .Build();

using (var stream = uploadedFile.OpenReadStream())
{
    var detectionResult = inspector.Inspect(stream);
    string realMime = detectionResult.MimeType;
}

• 不管用哪种方法，一定要恢复流的原始位置，不然后续读取文件内容会出错。
• 不要只依赖单一验证方式：可以先通过内容判断真实MIME类型，再对比扩展名对应的MIME类型，如果两者不一致，直接标记为可疑文件拒绝上传。
• 对于大文件，不需要读取整个流，只读取前几个字节（比如前100字节）就足够匹配绝大多数文件签名了，效率很高。

内容的提问来源于stack exchange，提问作者Kevat Shah