浏览器不弹出下载框的核心原因是未正确设置content-disposition响应头；必须添加header('content-disposition: attachment; filename="xxx"')，并配合清空缓冲、校验文件权限与路径隔离等措施。
PHP直接输出文件流时为什么浏览器不弹出下载框
核心原因是响应头没设对。浏览器靠 Content-Disposition 响应头判断是否触发下载，缺了或写错就当成普通文本/HTML展示。常见错误是只用了 header('Content-Type: application/octet-stream') 却漏掉关键的 Content-Disposition: attachment; filename="xxx"。
实操建议：
- 必须用
header('Content-Disposition: attachment; filename="' . basename($file_path) . '"')，注意basename()防止路径穿越 -
Content-Type不一定非得是application/octet-stream，用finfo_file()推断更安全，比如 PDF 文件设为application/pdf - 务必在
readfile()前调用ob_end_clean()清空输出缓冲，否则可能混入空白字符导致下载失败或文件损坏 - 加
header('Content-Transfer-Encoding: binary')和header('Expires: 0')可提升兼容性，尤其对老版 IE
用 readfile() 还是 fpassthru() 更合适
readfile() 最常用，适合中小文件（几十 MB 以内），它把整个文件读进内存再输出，简单直接；fpassthru() 需要先 fopen()，适合大文件流式传输，内存占用低但多一步打开操作。
实操建议：
- 小文件（readfile($file_path)，代码少、不易出错
- 大文件（>50MB）：改用
$fp = fopen($file_path, 'rb'); fpassthru($fp); fclose($fp)，避免内存溢出 - 无论哪种，都要加
set_time_limit(0)防止超时中断下载 - 别忘了检查
is_readable($file_path)和file_exists($file_path)，否则用户看到的是空白页或 500 错误
怎么防止用户通过 URL 直接访问受保护的下载文件
把文件放在 Web 根目录外（如 /var/www/private/uploads/），让 Nginx/Apache 无法直接 HTTP 访问，只允许 PHP 脚本校验权限后读取。
实操建议：
- 文件存储路径不要放在
public_html或htdocs下，推荐放系统级私有目录 - PHP 脚本里做权限判断，比如查数据库确认当前用户是否有权下载该
$file_id对应的文件 - URL 中传
id=123而不是file=report.pdf，后端用 ID 查真实路径，避免路径泄露 - 下载链接加一次性 token 或时间戳校验（如
expires=1698765432&sig=abc123），防爬虫批量刷
下载中文文件名乱码怎么办
HTTP 响应头不支持 UTF-8 文件名，IE 和旧版 Edge 会显示乱码，Chrome/Firefox 现在基本能处理，但稳妥起见仍需适配。
实操建议：
- 用
mb_convert_encoding()转成 GBK（仅 Windows 用户）或用 RFC 5987 格式：Content-Disposition: attachment; filename*=UTF-8''%E6%8A%A5%E5%91%8A.pdf - 更简单通用的做法：文件名强制转拼音或用英文 ID，比如
download_20231001_report.pdf，避开编码问题 - 别依赖
iconv()，它在某些系统上可能缺失或报错，优先用mb_convert_encoding() - 测试时用不同浏览器打开下载链接，重点看 IE11 和 Chrome 的保存对话框是否显示正常
readfile()，等于把私有文件裸奔暴露出去。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
