現代のブラウザは、拡張子によってファイルのフォーマット(メディア種別)を判別しません。
Content-Type
エンティティヘッダーは、リソースのメディア種別を示すために使用します。
(中略)
Content-Type
ヘッダーはクライアントに返されたコンテンツが実際にはどのような種類のものであるかを伝えます。
(今回の質問からは逸れますが、)ただし、続く説明に
場合によってはブラウザーは MIME を推定し、このヘッダーの値に従わないこともあります。
とある通り、過去のブラウザでは拡張子によってメディア種別を判別することもありました。次のリンクで解説されています。
ちなみに今回のContent-Type
はapplication/octet-stream
であり、これが<img>
のsrc
に指定されています。
従って具体的な画像フォーマットの判定が必要ですが、pngであるかどうかは、他の回答にある通り、 0x89 50 4E 47 0D 0A 1A 0A
で始まっているかでチェックするようです。
質問文中のURLに含まれる文字列
$2a$08$VyYesY.CJ10klUWIYBzSlu6MTgt72F69GE7d5xzZqKLBkl.8a3nFK
ですが、文字列パターンから見てbcryptハッシュ化の結果値と思われます。
つまり、 .8a3nFK
は拡張子を意図した文字列というわけではないでしょう。
content-type: application/octet-stream
となっています(バイナリデータ)。