У input type="file" есть атрибут accept=".jpg, .jpeg, .png", где ты можешь перечислить допустимые расширения файлов. Например:
<input type="file" name="avatar" accept=".jpg, .jpeg, .png">
Единственное, как ты понимаешь, это не отменяет необходимость делать также проверку и на сервере на тип загружаемого файла.