私有文件无法通过url直接访问，因private磁盘不在web根目录下且无内置鉴权；必须通过带权限校验的控制器路由返回streamedresponse流，严禁使用storage::url()或符号链接。
私有文件不能直接通过 URL 访问，这是设计使然，不是配置错误。 Laravel 的 local 驱动下所谓 “private 磁盘”，本质只是不自动暴露在 Web 路径下——它没有内置鉴权逻辑，也不生成签名 URL。你必须自己控制访问入口，否则就等于把 storage/app/private/ 目录裸露在 HTTP 服务之外，却幻想它“安全”。
为什么 public 磁盘加了 storage:link 就能访问，private 磁盘不行
因为 public 磁盘配合 php artisan storage:link 建立的是一个从 public/storage 到 storage/app/public 的符号链接，Web 服务器（如 Nginx）能直接命中该路径并返回文件；而 private 磁盘默认指向 storage/app/private，这个目录不在 Web 根目录下，Nginx 根本无法路由到它。
常见错误现象：
- 直接访问
/storage/private/report.pdf→ 404 或 403 - 在 Blade 中写
<img src="%7B%7B%20Storage::url('private/avatar.jpg')%20%7D%7D">→ 返回的 URL 指向不存在的路径，浏览器加载失败
根本原因：Storage::url() 只对 public 磁盘有意义；对 private 磁盘调用它，返回的仍是不可访问的路径（比如 /storage/private/xxx），纯属误导。
正确做法：用控制器做访问代理，手动输出文件流
所有私有文件的访问，必须经过一个带权限校验的路由 + 控制器方法。核心是：读取文件内容、设置正确响应头、返回二进制流。
示例（Laravel 10+）：
use Illuminate\Support\Facades\Storage;
use Symfony\Component\HttpFoundation\StreamedResponse;
public function showPrivateFile(string $path)
{
// 1. 权限校验（例如：当前用户是否拥有该文件所属资源的查看权）
if (! auth()->user()->can('view', FileModel::where('path', $path)->first())) {
abort(403);
}
// 2. 检查文件是否存在
if (! Storage::disk('private')->exists($path)) {
abort(404);
}
// 3. 获取原始 MIME 类型（关键！避免浏览器误判）
$mimeType = Storage::disk('private')->mimeType($path) ?: 'application/octet-stream';
// 4. 构造 StreamedResponse，避免内存爆满（尤其大文件）
return new StreamedResponse(function () use ($path) {
$stream = Storage::disk('private')->readStream($path);
fpassthru($stream);
if (is_resource($stream)) {
fclose($stream);
}
}, 200, [
'Content-Type' => $mimeType,
'Content-Length' => Storage::disk('private')->size($path),
'Content-Disposition' => 'inline; filename="'.basename($path).'"',
]);
}
关键点说明：
-
StreamedResponse比response()->file()更稳妥：后者要求文件路径可被 PHP 直接fopen，而private磁盘下的文件可能不在 Web 进程可读路径内（比如容器隔离或 SELinux 限制）；readStream()走 Flysystem 抽象层，兼容性更好 -
Content-Disposition: inline告诉浏览器“尝试在页面中显示”，而不是强制下载；若要强制下载，改用attachment - 务必校验
$path，防止目录遍历攻击（如传入../../.env）；建议白名单校验或使用 UUID 文件名 + 数据库关联
filesystems.php 中 private 磁盘的典型配置
不要试图给 private 磁盘配 url 或启用 visibility 为 public——这毫无意义，且可能引发混淆。
标准配置只需明确 root 和 driver：
'private' => [
'driver' => 'local',
'root' => storage_path('app/private'),
'throw' => false,
],
注意：
- 别在
links数组里为private磁盘加符号链接：Web 服务器不应绕过控制器直连私有目录 - 如果要用 S3 私有桶，磁盘驱动应设为
s3，并确保visibility是private（S3 SDK 默认行为），此时get()和readStream()仍可用，但需网络 IO - 本地开发时，
storage/app/private目录权限应为750，属主为 Web 进程用户（如 www-data），避免被其他系统用户读取
最易被忽略的一点：私有文件的“安全性”完全依赖控制器里的权限判断逻辑和路径过滤强度。磁盘配置本身不提供任何访问控制，它只是一个存储位置声明。一旦路由暴露、校验绕过或路径未消毒，private 磁盘和 public 磁盘一样危险。
