Ну, вы можете сделать это с помощью Javascript, на самом деле, если вы используете jQuery, почти все плагины для загрузки файлов могут опционально обрабатывать ограничение типа файла.
Только HTML этого не сделает.
Но только фильтрация на стороне клиента не означает, что файлы любого типа не могут быть загружены на ваш сервер. На самом деле злоумышленник может загрузить любой тип файла, потому что избежать «щита» Javascript просто. Вы всегда должны выполнять проверку на стороне сервера.