php 8.1 下载文件需严防路径遍历、未授权访问、文件篡改及客户端断连滥用；须校验路径合法性、扩展名白名单、真实路径归属、文件哈希一致性、一次性token权限，并用分块读取替代readfile()以响应中断。
PHP 8.1 下载服务器文件时，**文件本身不会在传输中被“篡改”**——HTTP 是明文协议，但篡改通常发生在源头（文件已被写入恶意内容）或中间人劫持（极少见且与 PHP 实现无关）。真正要防的，是：攻击者上传/注入恶意文件、替换合法文件、或通过下载接口读取本不该暴露的敏感文件（如 config.php、.env）。以下聚焦可落地的防护点。
防止下载接口读取非法路径（路径遍历）
这是最常见、最危险的入口。用户传 ../config.php 或 %2e%2e/config.php 就可能绕过限制。
- 绝对不要直接拼接
$_GET['file']到file_get_contents()或readfile() - 用
basename()提取文件名后，再白名单校验扩展名：in_array(pathinfo($filename, PATHINFO_EXTENSION), ['pdf', 'zip', 'mp4']) - 真实路径必须硬编码根目录，比如
$root = '/var/www/private/downloads/'; $filepath = $root . basename($filename);，禁止任何上级目录符号 - 调用前加
if (!realpath($filepath) || strpos(realpath($filepath), $root) !== 0)双重确认路径未逃逸
防止下载未授权或已污染的文件（权限与完整性）
即使路径安全，文件内容也可能被篡改（例如上传接口被攻破、运维误操作覆盖）。
- 下载前查数据库或元数据表，确认该文件 ID 对应的
sha256_hash字段是否匹配当前磁盘文件：hash_file('sha256', $filepath) - 对用户可见的下载链接使用一次性 token（如 JWT），有效期 5 分钟，并绑定用户 ID + 文件 ID，避免链接泄露后长期有效
- 敏感文件（如订单凭证 PDF）生成后立即设置只读权限：
chmod($filepath, 0444)，防止后续被覆盖
防止 readfile() 忽略客户端断连导致资源滥用
PHP 8.1 中 readfile() 仍无法响应中断，恶意脚本反复请求大文件后秒退，会持续消耗 I/O 和带宽。
- 替换为分块读取 + 显式状态检查：
fopen()→fread()每次 8192 字节 →if (connection_status() === CONNECTION_ABORTED) { exit; } - 在循环内加
usleep(1000)（1ms）降低 CPU 占用，尤其对超大文件 - 配合简单限流：用
apcu_inc('dl_count_' . $user_id)计数，10 分钟内超 5 次就http_response_code(429)
最关键的不是加密传输，而是确保你输出的确实是「那个时刻那个用户该拿到的那个没被改过的文件」——所有校验（路径、权限、哈希、连接状态）都要在 readfile() 或输出前完成，漏掉任意一环，都可能让防御形同虚设。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
