MIME 类型（MIME Type），全称为“多用途互联网邮件扩展类型”，是一种标准，用于标识文档、文件或数据流的性质和格式。
你可以把它理解为文件在互联网上的“数字身份证”。当浏览器从服务器接收数据时，它会依赖这个“身份证”来决定如何处理内容——是直接渲染成网页、显示为图片，还是提示用户下载。
🏗️ 基本结构
MIME 类型的格式非常简单，由一个主类型（type）和一个子类型（subtype）组成，中间用斜杠 / 分隔。
基本语法：
type/subtype
- 主类型 (type)：代表数据的大致分类，例如文本、图像或应用程序。
- 子类型 (subtype)：精确地标识具体的文件格式，例如 HTML、JPEG 或 JSON。
可选参数：
MIME 类型还可以包含一个或多个可选参数，用于提供额外信息，例如字符集。
例如，text/html; charset=UTF-8 表示这是一个使用 UTF-8 编码的 HTML 文档。
📚 常见主类型
以下是几种最常见的主类型及其说明：
| text | 表示文本文件，通常是人类可读的。 | text/plain, text/html, text/css |
| image | 表示图像文件，包括静态图片和动图。 | image/jpeg, image/png, image/gif |
| audio | 表示音频文件。 | audio/mpeg, audio/wav, audio/webm |
| video | 表示视频文件。 | video/mp4, video/webm |
| application | 表示二进制数据或需要特定应用程序处理的数据。 | application/json, application/pdf, application/zip |
| multipart | 表示由多个部分组成的复合文档，常用于文件上传。 | multipart/form-data |
💡 为什么它很重要？
MIME 类型在现代网络通信中扮演着至关重要的角色，尤其是在 HTTP 协议中。
-
服务器告知浏览器：服务器在响应请求时，会通过 HTTP 响应头中的 Content-Type 字段来告诉浏览器返回的内容是什么类型。
- 例如：Content-Type: text/html 会让浏览器将内容渲染成网页。
- 例如：Content-Type: application/pdf 会让浏览器直接下载或调用插件打开 PDF 文件。
-
浏览器告知服务器：浏览器在发送请求（特别是 POST 请求）时，也会通过 Content-Type 头告诉服务器它正在发送什么格式的数据。
- 例如：Content-Type: application/json 告诉服务器请求体是 JSON 格式的数据。
- 例如：Content-Type: multipart/form-data 告诉服务器正在上传文件。
⚠️ 与安全的关系
正如你在 Pikachu 靶场的“不安全的文件上传”第二关中实践的那样，MIME 类型校验是一种常见的、但不安全的文件上传验证方式。
- 漏洞原理：服务器仅检查上传文件的 Content-Type 请求头来判断文件类型。
- 为何不安全：这个请求头是由客户端（浏览器）发送的，攻击者可以使用 Burp Suite 等工具轻易地将其伪造。例如，将一个 shell.php 木马文件的 Content-Type 从 application/x-php 修改为 image/jpeg，就能绕过这种检查。
因此，在生产环境中，绝不能仅依赖 MIME 类型来验证文件，必须结合文件扩展名白名单、文件内容检测等多种方式来进行综合判断。
