应使用 response()->download() 而非手动 header + readfile，因其内置流式处理、安全校验及中文文件名 rfc 5987 编码；手动实现易引发 bom 输出、缓冲嵌套、乱码、内存超限等问题。
ThinkPHP 8.0 推荐直接用 response()->download()，它已内置流式处理、安全校验和中文文件名兼容，不建议手写 header + readfile。
为什么不用自己写 header + readfile？
手动拼接响应头看似简单，但在 TP8 环境下极易踩坑：框架中间件可能提前输出空格或 BOM；ob_start() 层级嵌套导致 ob_clean() 失效；中文文件名在 Chrome/Firefox 下乱码；大文件直接 readfile() 占满内存触发超时。TP8 的 response()->download() 内部已调用 fpassthru() + 分块输出，并自动处理 Content-Disposition 的 RFC 5987 编码。
response()->download() 的正确用法
必须传入**绝对路径**，且该路径需满足：文件存在、可读、不在 Web 可访问目录（如 public/ 下）。
-
$path = runtime_path() . '/export/data.xlsx';✅ 安全（非公开目录） -
$path = public_path() . '/uploads/2024/test.pdf';❌ 危险（可被直接 URL 访问，绕过权限控制） - 若文件名含中文，无需额外编码，TP8 会自动处理：
response()->download($path, '报表_2026年5月.xlsx'); - 不支持从远程 URL（如 OSS）直传下载 —— 必须先
file_get_contents()或 SDK 下载到本地临时路径再传入
下载前必须做的三件事
TP8 不会帮你做业务层校验，漏掉任一环节都可能导致越权或路径遍历漏洞：
- 检查用户是否有下载权限（例如查数据库中该文件是否属于当前用户）
- 规范化文件名：用
basename($filename)剥离路径，防止../../etc/passwd类攻击 - 白名单校验后缀：仅允许
['pdf', 'xlsx', 'zip', 'csv']等业务所需类型，拒绝.php、.log
大文件（>100MB）或需要断点续传怎么办？
response()->download() 默认不支持 Range 请求，此时必须自行实现流式分块 + 206 响应。核心逻辑是：
- 读取
$_SERVER['HTTP_RANGE']，解析起始偏移量 - 用
fopen($path, 'rb')打开文件，fseek()跳转到指定位置 - 设置
header('HTTP/1.1 206 Partial Content')和Content-Range - 循环
fread($fp, 8192)+echo+flush()+ob_flush()
注意：TP8 的 Response 类未封装此能力，需独立写方法，且务必关闭所有输出缓冲（while (ob_get_level()) ob_end_clean();）。
最常被忽略的点：文件路径没走数据库查证、直接拼接用户输入的 id 或 name 参数；还有就是忘了在 download() 调用前做 exit 或返回 Response 对象，导致后续代码继续执行并污染响应流。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
