Что лучше проверять mime тип файла или его расширение или все вместе?

В принципе не точно, но мне главное что бы не было вреда системе, если пользователь что-то нашаманит там, это его проблема

KuzmenkoArtem, просто понятие расширения как признак типа файла - это только у win в наследство от dos
Более другие системы - ориентируются на содержимое.
Соответственно файл photo (без расширения) окажется вполне-таки файлом фотографии например с мака. И мало того, если пользователь его сохранил на флешку и аплоадид из-под винды - mime окажется совсем не image/jpeg

Но вот чтение нескольких байт из начала файла, где встретится "яШяа" - ответит на вопрос что это jpeg, a "GIF89a" - что gif

d-stream, Ну я с jpeg не собираюсь работать, у меня txt, csv, xml, json - оно все может оказаться text/plain
Получается что если в тексте есть запятые или угловые стрелочки это еще не признак того что это csv или xml

KuzmenkoArtem, для таких файлов тем более расширение будет неактуальным, а с учетом кодировок и text/plain - не факт...

Так что из первичного для xml - еще более-менее по контенту можно однозначно понять, ну и json - подобным образом... ну а txt|csv - тут разве что парсить и если вдруг процент ошибок не превышает порога - считать что "да, это оно и было"