MIME 类型一览

什么是 MIME 类型

MIME（Multipurpose Internet Mail Extensions）类型是标识文件格式与性质的标准机制，写作 类型/子类型，用于告知浏览器和服务器如何处理内容。可在 HTTP 响应的 Content-Type 头以及 HTML 的 <input type="file" accept="..."> 属性中指定。

图像（image）

文档（application）

文本（text）

音频（audio）

视频（video）

归档与压缩（application）

字体（font）

其他

开发中如何使用 MIME 类型

服务器端配置

Apache 或 Nginx 等 Web 服务器需配置文件扩展名与 MIME 类型的对应关系。若配置有误，浏览器就无法正确处理文件——例如 .webp 若未设置正确类型，就会被当作下载而非显示为图像。

文件上传校验

实现文件上传功能时，除扩展名外还应校验 MIME 类型。但 MIME 类型可在客户端伪造，出于安全考虑建议同时校验文件开头的魔术字节。

Content-Type 头

API 响应与文件下载时请设置准确的 Content-Type：JSON 用 application/json，CSV 用 text/csv。需要显式声明编码时，可像 text/html; charset=utf-8 这样追加 charset 参数。

在服务器配置中声明 MIME 类型

以下是发布 WebP / AVIF / WASM / 字体等现代格式时常用的配置片段，这些格式往往不在服务器的默认映射中。

Apache .htaccess

# 现代图片格式
AddType image/webp .webp
AddType image/avif .avif
AddType image/svg+xml .svg .svgz

# 字体（积极缓存）
AddType font/woff  .woff
AddType font/woff2 .woff2

# WebAssembly 与现代 JSON 变体
AddType application/wasm        .wasm
AddType application/manifest+json .webmanifest
AddType application/ld+json     .jsonld

# 以 UTF-8 提供文本类资源
AddCharset utf-8 .html .css .js .json .xml

Nginx（覆盖 mime.types）

types {
    image/webp                webp;
    image/avif                avif;
    application/wasm          wasm;
    application/manifest+json webmanifest;
}

# 为 text/* 与 application/json 强制指定字符集
charset utf-8;
charset_types text/css text/plain text/xml application/javascript application/json application/xml;

PHP — 发送 Content-Type

// 以指定文件名下载 PDF
header('Content-Type: application/pdf');
header('Content-Disposition: attachment; filename="invoice.pdf"');
readfile($path);

// JSON API 响应（务必显式声明 charset）
header('Content-Type: application/json; charset=utf-8');
echo json_encode($data, JSON_UNESCAPED_UNICODE);

Node.js / Express

// Express 会根据 res.type() 或扩展名推断 Content-Type
app.get('/data.json', (req, res) => {
    res.type('application/json').send({ ok: true });
});

// 以显式 MIME 类型进行文件流式传输
app.get('/report.csv', (req, res) => {
    res.set('Content-Type', 'text/csv; charset=utf-8');
    fs.createReadStream('report.csv').pipe(res);
});

Python — Flask / FastAPI

# Flask
from flask import Response
return Response(csv_text, mimetype='text/csv', headers={'Content-Disposition': 'attachment; filename="data.csv"'})

# FastAPI
from fastapi.responses import Response
return Response(content=json_str, media_type='application/json')

Go — net/http

w.Header().Set("Content-Type", "application/json; charset=utf-8")
w.Header().Set("X-Content-Type-Options", "nosniff")  // 安全性：参见下文
json.NewEncoder(w).Encode(data)

安全：为什么需要 X-Content-Type-Options: nosniff

历史上，当 Content-Type 头缺失或错误时，浏览器会「嗅探」文件内容来猜测类型。这是已知的攻击途径：若以 image/jpeg 上传的文件实际是含 <script> 的 HTML，浏览器可能将其嗅探为 HTML 并执行脚本，造成 XSS。

请在所有响应中发送 X-Content-Type-Options: nosniff。该头告诉浏览器信任服务器声明的 Content-Type、不要自行猜测。对用户上传文件和 JSON API 尤为必要（存在诱导浏览器把 JSON 当作 HTML 或 JS 解析的攻击）。

上传校验 — 三层规则

1. 扩展名检查 — 速度快，但只要重命名文件即可绕过。仅作为 UX 提示使用。
2. 客户端发送的 MIME 类型（multipart 边界内的 Content-Type）— 同样容易伪造，浏览器只是根据扩展名推断而已。
3. 魔术字节（文件签名）检测 — 读取文件开头的实际字节，与已知签名比对（JPEG 为 FF D8 FF，PNG 为 89 50 4E 47）。只有这一层是可信的。详见魔术字节参考。

生产环境铁律：三层全做。前两层作为快速过滤挡掉明显垃圾，第三层作为权威的最终校验。

常见问题