[Sigizmund2012]

Decode,
Это понятно, защита не от злоумышленника, а от пользователя, загрузившего файл с неверным расширением. Сейчас код выглядит так:

<h1>Upload or get or delete file</h1>

<form action="" id="file-upload" enctype="multipart/form-data" >
	<input id="file" type="file">
	<input type="submit" value="Send">
</form>
<button id="get">Get file</button><button id="delete">Delete file</button>
<div id="message"></div>
<script>
	var form = document.getElementById('file-upload');
	var file = document.getElementById('file');
	var getFile = document.getElementById('get');
	var deleteFile = document.getElementById('delete');
	var message = document.getElementById('message');
	form.onsubmit = function( e ){
		var newFile = file.files[0];
		var formData = new FormData();
		var xhr = new XMLHttpRequest();

		message.innerHTML = '';
		e.preventDefault();

		if (!newFile.name.match('.zip')) {
			message.innerHTML = 'Please, upload only ZIP files!';
			return;
		}
		
		formData.append('zipfile', newFile);
		xhr.open('POST', '/path/', true);
		xhr.onload = function () {
		if (xhr.status === 200) {
			message.innerHTML = 'Uploaded!';
		} else {
			message.innerHTML = 'Error, please try later';
		}
		};
		xhr.send(formData);
	};
</script>