php怎么实现文件下载_php如何安全控制大文件分片下载功能-php教程-PHP中文网

直接输出大文件下载易致内存溢出；应避免file_get_contents()+echo，readfile()需配合set_time_limit(0)和ignore_user_abort(true)，仅适用于中小文件。

php怎么实现文件下载_php如何安全控制大文件分片下载功能

PHP 直接输出文件下载容易触发内存溢出

大文件（比如 >10MB）用 readfile() 或 file_get_contents() 一次性读入内存再输出，PHP 进程会吃光内存，Nginx/Apache 可能直接 kill 掉进程，浏览器卡死或返回 500/502。这不是代码写错，是设计误用。

实操建议：

永远避免 file_get_contents($path) + echo 下载大文件
用 readfile() 前必须加 set_time_limit(0) 和 ignore_user_abort(true)，但仅限中小文件（
真正安全的做法：不加载内容进 PHP 内存，改用 fpassthru() 配合 fopen('php://output') 流式传输
务必在输出前调用 ob_end_clean() 清掉所有已缓存输出，否则 HTTP 头会混乱

header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="report.pdf"');
header('Content-Length: ' . filesize($path));
readfile($path); // ❌ 危险！

header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="report.pdf"');
$fp = fopen($path, 'rb');
header('Content-Length: ' . filesize($path));
fpassthru($fp); // ✅ 流式，内存恒定 ~64KB
fclose($fp);

分片下载（Range 请求）必须手动解析并响应 206

浏览器点暂停/续传、用下载工具多线程拉取，都会发带 Range 头的请求。PHP 默认不处理，直接返回 200 + 全量内容，客户端就认为“断点失败”，重头开始下。

实操建议：

先检查 $_SERVER['HTTP_RANGE'] 是否存在，格式是否为 bytes=0-1023
不能只用 header('HTTP/1.1 206 Partial Content')，必须同步设置 Content-Range、Content-Length 和实际二进制片段
文件指针要用 fseek($fp, $start) 定位，再用 fread($fp, $length) 精确读取，别用 substr(file_get_contents(), ...)
注意 Content-Range 格式：必须是 bytes 0-1023/12345，末尾总大小不能写错，否则 Chrome 拒绝接受

$range = $_SERVER['HTTP_RANGE'] ?? '';
if (preg_match('/^bytes=(\d+)-(\d+)?/', $range, $matches)) {
    $start = (int)$matches[1];
    $end = $matches[2] !== '' ? (int)$matches[2] : $size - 1;
    $length = $end - $start + 1;
    header('HTTP/1.1 206 Partial Content');
    header("Content-Range: bytes $start-$end/$size");
    header("Content-Length: $length");
    fseek($fp, $start);
    echo fread($fp, $length);
}

权限校验不能放在文件路径拼接之后

常见错误：用户传 ?file=../../etc/passwd，后端直接 readfile($_GET['file'])，导致任意文件读取。哪怕你做了白名单，也常因 realpath() 路径归一化失败或符号链接绕过而翻车。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

实操建议：

绝对路径必须从一个预设根目录（如 /var/www/downloads/）开始拼，禁止接收用户输入的相对路径片段
用 basename($_GET['file']) 提取文件名，再拼到白名单目录下，彻底丢弃原始路径结构
校验前先 is_file() + is_readable()，但注意：这两个函数对 symlink 有效，要防住 /proc/self/environ 类特殊路径，得额外 realpath() 后比对是否仍在白名单目录内
敏感操作（如下载日志、导出数据）建议走 ID 映射，前端传 ?id=abc123，后端查数据库确认该 ID 对应合法文件路径

Apache/Nginx 对大文件下载有默认代理超时和缓冲限制

即使 PHP 层流式输出正确，反向代理或 Web 服务器自身也会截断响应。典型现象：Chrome 显示“网络连接中断”，Nginx error log 出现 upstream prematurely closed connection，或者下载到 60 秒自动终止。

实操建议：

Nginx 需调大：proxy_read_timeout 300、proxy_buffering off（禁用缓冲）、send_timeout 300
Apache 需确认：Timeout 和 ProxyTimeout 都设为 ≥300，且禁用 mod_deflate（压缩大文件会吃光内存）
PHP-FPM 需同步调整：request_terminate_timeout 和 request_slowlog_timeout，否则 FPM worker 自己先超时退出
测试时用 curl -v -r 0-1023 http://yoursite/file.zip 检查是否返回 206 和正确 Content-Range，比浏览器更准