如何安全限制文件直接访问并实现登录用户下载功能-php教程-PHP中文网

如何安全限制文件直接访问并实现登录用户下载功能

本文介绍通过 .htaccess 禁止目录直访、配合 php 下载代理脚本（downloader.php）实现权限控制的完整方案，确保仅登录用户可通过页面链接下载受保护文件，杜绝未授权访问。

本文介绍通过 .htaccess 禁止目录直访、配合 php 下载代理脚本（downloader.php）实现权限控制的完整方案，确保仅登录用户可通过页面链接下载受保护文件，杜绝未授权访问。

要实现“文件仅能通过 index.php 下载、禁止浏览器直接访问（如 <a href="https://www.php.cn/link/e5705b41110c61a78337a0536bccce98" rel="nofollow" target="_blank">https://www.php.cn/link/e5705b41110c61a78337a0536bccce98</a>）”，核心思路是：将真实文件置于 Web 服务器不可直接解析的路径之外，或通过服务器规则阻断直访，并统一由受控 PHP 脚本处理下载请求。以下是经过验证的生产级实现步骤：

✅ 第一步：阻止 files 目录的直接访问（Apache）

在 files/ 目录下新建 .htaccess 文件，内容如下（适用于 Apache）：

# files/.htaccess
Order Deny,Allow
Deny from all

⚠️ 注意：若使用 Apache 2.4+，推荐改用更现代的写法：
Require all denied
同时确保服务器已启用 mod_authz_core 模块且 AllowOverride All 在对应虚拟主机中生效。

该配置使所有对 files/ 下资源的直接 HTTP 请求（如 GET /files/file1.pdf）均返回 403 Forbidden，但 PHP 脚本仍可正常读取本地文件系统路径（如 'files/file1.pdf'），不受影响。

✅ 第二步：创建安全下载代理脚本 `downloader.php`

新建 downloader.php（建议与 index.php 同级），内容如下：

<?php // downloader.php —— 登录态校验 + 安全文件输出
session_start();

// 【关键】强制登录检查（根据你的 session.php 实际逻辑调整）
if (!isset($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true) {
    http_response_code(403);
    die('Access denied: Please log in first.');
}

if (!isset($_GET['file']) || !is_string($_GET['file'])) {
    http_response_code(400);
    die('Bad request: Missing or invalid file parameter.');
}

$filename = basename($_GET['file']); // 防止路径遍历攻击（如 ../etc/passwd）
$filepath = './files/' . $filename;

if (!file_exists($filepath) || !is_file($filepath)) {
    http_response_code(404);
    die('File not found: ' . htmlspecialchars($filename));
}

// 设置安全响应头（避免浏览器渲染，强制下载）
header('Content-Type: application/octet-stream');
header('Content-Transfer-Encoding: binary');
header('Content-Length: ' . filesize($filepath));
header('Content-Disposition: attachment; filename="' . htmlspecialchars($filename) . '"');
header('Cache-Control: private, must-revalidate, max-age=0');
header('Expires: Sat, 26 Jul 1997 05:00:00 GMT');
header('Last-Modified: ' . gmdate('D, d M Y H:i:s', filemtime($filepath)) . ' GMT');

// 输出文件流（readfile() 自动处理缓冲，适合中小文件；大文件建议分块读取）
readfile($filepath);
exit;

? 安全增强点说明：

basename() 防止 ?file=../config.php 类路径遍历；

htmlspecialchars() 防止响应头注入；

显式 session_start() + 登录态校验，确保仅授权用户可达；

完整的 HTTP 状态码与缓存控制，提升兼容性与安全性。

✅ 第三步：更新 index.php 中的下载链接

修改原 index.php 的循环部分，将 <a href="%24file"></a> 改为指向 downloader.php 的受控 URL：

<?php include('session.php'); // 确保 session 已启动

$path  = './files';
$files = scandir($path);
// 过滤掉隐藏文件、PHP 文件、meta 文件等
$files = preg_grep("/^(\.|\.\.|index\.php|\.htaccess)$|.php$|\.meta\.js$/", $files, PREG_GREP_INVERT);

foreach ($files as $file) {
    // 仅显示合法文件名（跳过目录）
    if (is_file($path . '/' . $file)) {
        echo '<div>';
        echo '<a href="downloader.php?file='%20.%20urlencode(%24file)%20.%20'">' . htmlspecialchars($file) . '</a>';
        echo '';
    }
}
?>