文件类型检测

检测比较的是文件内容和扩展名

选择一个文件后，页面读取开头最多 32 个字节，把它们显示成十六进制“文件头”，再与内置签名逐项比较。命中后会给出推测扩展名和媒体类型，同时把推测结果与文件名最后一个点号后的扩展名比较，显示“匹配”“不匹配”或“未知”。

例如，PNG 的标准签名是 89 50 4E 47 0D 0A 1A 0A。一个名为 photo.txt 的文件若以这八个字节开头，检测结果会显示 png、image/png，并判定扩展名不匹配；把文件重命名不会改变这些开头字节。

当前能识别哪些签名

类别	可能输出	识别重点
图片	PNG、JPEG、GIF、BMP、WebP、ICO	固定起始签名；WebP 还检查 RIFF 头中的 WEBP 标识。
文档与压缩	PDF、ZIP、RAR、GZIP、7Z、XZ	ZIP 容器统一输出 zip，不继续解析包内结构。
音视频	MP3、MP4、MKV、AVI、WAV	按当前已列出的 ID3/帧头、ftyp、EBML 或 RIFF 组合判断。
文本线索	HTML、XML、JSON	把开头字节按 UTF-8 解码，只检查少量起始标记。

没有命中会输出 unknown 和 application/octet-stream。这表示“当前规则无法识别”，不代表文件没有格式，也不代表它一定是任意二进制。

结果区每个字段怎样读

标准资料用于核验什么

选择文件后怎样核对结论

1. 先保留原文件

   检测不会要求先改后缀。直接选择或拖入单个文件，访客基准上限为 100 MB；登录或会员状态可能提高上限，以选择区当时显示的数值为准。

2. 查看检测类型

   先看大字显示的扩展名和下一行媒体类型。若为 unknown，说明 32 字节内没有命中当前规则。

3. 对照匹配状态

   “匹配”只表示文件名后缀与推测类别相容；“不匹配”提示后缀可能被改名或内容不是预期格式；“未知”表示无法比较。

4. 复制文件头留证

   需要进一步分析时，可复制十六进制文件头，与格式维护方的规范或可信分析环境比对。不要仅凭页面给出的一个标签覆盖原始文件。

PNG 与 Office 文档的对照例

PNG 改名：把一个真实 PNG 文件名从 logo.png 改成 logo.dat，内容签名仍会命中 PNG，但原扩展名是 dat，因此状态为不匹配。

DOCX 容器：report.docx 通常以 ZIP 容器签名开头。当前检测会显示 zip 和 application/zip，但把 docx 列入兼容后缀，所以匹配状态可以为“匹配”。它不会打开压缩包进一步确认内部目录是否真的是有效 DOCX。

未知、ZIP 和安全性问题

为什么 DOCX、XLSX 或 APK 显示为 ZIP？

这些格式使用 ZIP 作为外层容器，开头签名相同。当前规则不读取包内清单，所以只能给出 zip 容器结论。

扩展名匹配是否证明文件真实有效？

不能。匹配只比较少量开头字节和文件名后缀，文件可能损坏、截断，或仅伪造签名。

JSON 为什么可能误判？

文本规则只看去除首尾空白后的开头是否为 { 或 [，不解析完整语法。以这些字符开头的普通文本也可能被标为 JSON。

显示 unknown 后还能怎样处理？

先不要随意改后缀。可结合可信来源、完整格式规范、专用解析器或安全分析环境继续判断；未知只是当前签名表未覆盖。

检测范围不是安全扫描

文件签名初筛不能证明文件安全、完整或可正常打开，也不能替代杀毒、沙箱、内容解析、数字签名验证或专业取证。来源不明的文件即使显示“匹配”，仍不应直接执行。

• 当前只分析开头最多 32 字节，支持的是固定列表，不是任意格式识别，更没有“200+ 类型”的覆盖承诺。
• 某些格式签名不在固定偏移，或有多种合法变体；例如 MP4 的 ftyp 前导长度超出当前两种模式时可能显示未知。
• EBML、RIFF 和 ZIP 等容器可能承载不同内容。当前输出是粗粒度类别，不会验证内部结构、编解码器或文档完整性。
• 文件大小限制由页面按账号状态显示；即使允许选择较大文件，检测仍只需要开头片段。文件名和大小会显示在结果区，处理敏感资料时仍应遵守本地数据管理要求。
• 恶意文件可以伪造开头字节，损坏文件也可能保留正确签名。高风险判断必须结合完整内容和可信工具。