开发者文件格式快速参考

在网络应用开发中，文件验证、MIME 类型判定和上传限制设计等都频繁需要文件格式知识。本文汇总了开发现场常见的文件格式列表。收藏此页面，即可随时查阅作为快速参考指南。

图像格式

文档格式

存档格式

文本和数据格式

MIME 类型验证

在实现文件上传功能时，验证 MIME 类型和文件扩展名都很重要。但是，MIME 类型可以在客户端伪造，因此也应该在服务器端使用魔术字节（文件头）检查。

// PHP でのマジックバイトによる判定
$finfo = new finfo(FILEINFO_MIME_TYPE);
$mimeType = $finfo->file($_FILES['upload']['tmp_name']);

$allowedTypes = [
    'image/png',
    'image/jpeg',
    'image/webp',
    'application/pdf',
];

if (!in_array($mimeType, $allowedTypes, true)) {
    throw new Exception('許可されていないファイル形式です');
}

// Node.js での file-type ライブラリを使った判定
import { fileTypeFromFile } from 'file-type';

const type = await fileTypeFromFile('upload.png');
console.log(type);
// { ext: 'png', mime: 'image/png' }

下载测试文件

对于各种格式的验证处理和上传功能测试，请使用 DevLab 的测试文件。

• 图像文件 — PNG、JPG、WebP、GIF 多种尺寸
• PDF 文件 — 各种大小的 PDF 测试文件
• ZIP 文件 — 用于测试存档处理
• CSV 文件 — 数据导入测试
• JSON 文件 — 用于 API 测试
• 文本文件 — 用于测试文本处理
• 损坏文件 — 错误处理测试

总结

对文件格式的正确理解是实现安全、稳健的上传功能的基础。应该使用MIME类型和魔数字节进行验证,而不仅仅是文件扩展名,以执行适当的验证。建议将此参考资料加入书签,以便在开发时随时查阅。

❓ 常见问题

文件上传为什么需要校验 MIME 类型？

扩展名极易伪造，仅检查扩展名并不安全。应在服务端使用 finfo 或 mime_content_type() 校验 MIME 类型，并结合文件头的魔术字节检查，才能有效阻止恶意文件上传。

允许上传 SVG 文件时需要注意什么？

SVG 基于 XML，存在 XSS 风险。切勿直接展示用户上传的 SVG，必须先做净化处理，移除 script 标签、事件处理器等可执行内容。

Office 文档（docx、xlsx、pptx）的内部结构是怎样的？

docx、xlsx、pptx 实为内含 XML 文件的 ZIP 压缩包。其 MIME 类型是较长的 application/vnd.openxmlformats-officedocument 系列字符串，白名单中必须写入这些精确值。