- MIME Type検証は「ファイルの“中身の種類”を確認して偽装を見抜くための防御」です
- MIME Typeとは何かをまず押さえる
- ステップ1：フロントエンドでMIME Typeを取得する方法
- ステップ2：許可するMIME Typeのホワイトリストを定義する
- ステップ3：拡張子検証とMIME Type検証を組み合わせる
- ステップ4：フロント側MIME Type検証の限界と役割を理解する（重要な深掘り）
- ステップ5：サーバー側でのMIME Type検証と「マジックナンバー」の考え方（概念的な説明）
- ステップ6：業務で使える「MIME Type検証ユーティリティ」まとめ
- ステップ7：絶対に避けるべき危険なパターンを明確にしておく
- ステップ8：チームで共有するための「MIME Type検証ルール」をコードとドキュメントに刻む
- まとめ：MIME Type検証は「ファイルの中身の種類を確認して偽装を見抜くための、実務的で欠かせない防御」です
MIME Type検証は「ファイルの“中身の種類”を確認して偽装を見抜くための防御」です
業務システムでファイルアップロード機能を作るとき、 拡張子検証だけでは不十分であることがよく問題になります。
virus.exeをvirus.pdfにリネームすれば、拡張子は.pdfになる- 拡張子だけを見ていると「PDFっぽい名前の実行ファイル」を通してしまう可能性がある
そこで重要になるのが MIME Type（マイムタイプ）検証です。
MIME Type検証は、
「このファイルは本当に画像なのか？本当にPDFなのか？ 名前だけ偽装されていないか？」
を確認するための仕組みであり、 拡張子検証とセットで使うことで、ファイルアップロードの安全性を大きく高めることができます。
ここから、初心者向けにステップバイステップで解説していきます。
MIME Typeとは何かをまず押さえる
MIME Typeの基本
MIME Typeは、ファイルやコンテンツの種類を表す識別子です。
- 例：
image/png（PNG画像）image/jpeg（JPEG画像）application/pdf（PDF）text/plain（プレーンテキスト）
ブラウザやサーバーは、このMIME Typeを使って 「このデータをどう扱うべきか」を判断します。
なぜMIME Type検証が必要なのか
- 拡張子は簡単に偽装できる（名前を変えるだけ）
- MIME Typeは、ブラウザやサーバーが「中身を見て推定した種類」であることが多い
- 拡張子とMIME Typeの両方をチェックすることで、 「名前だけ偽装したファイル」をある程度見抜ける
つまり、MIME Type検証は、
「拡張子だけでは分からない“中身の種類”を確認するための第二関門」
だと考えると分かりやすいです。