如何安全地列出并下载本地驱动器D中的文件（PHP实现）-php教程-PHP中文网

如何安全地列出并下载本地驱动器D中的文件（PHP实现）

本文介绍在php中安全列出d盘指定目录下的所有文件（排除文件夹），并实现点击下载功能，避免直接暴露本地路径风险，强调数据库映射与权限控制的最佳实践。

本文介绍在php中安全列出d盘指定目录下的所有文件（排除文件夹），并实现点击下载功能，避免直接暴露本地路径风险，强调数据库映射与权限控制的最佳实践。

在Web应用中，直接通过 scandir() 访问本地物理驱动器（如 D:myfiles）并生成可点击下载链接存在严重安全隐患：不仅可能暴露服务器敏感路径结构，还易引发目录遍历（Directory Traversal）、任意文件读取等高危漏洞。因此，绝不可将 D:/ 路径直接写入 href="$file" 或通过 readfile() 未经校验地输出文件内容。

✅ 正确做法是采用「抽象ID映射 + 服务端受控分发」模式：

建立安全文件索引表（推荐使用MySQL）
创建 files 表存储元信息，而非暴露真实路径：

CREATE TABLE files (
    id INT PRIMARY KEY AUTO_INCREMENT,
    filename VARCHAR(255) NOT NULL,
    relative_path VARCHAR(512) NOT NULL COMMENT '如: d_files/report.pdf',
    mime_type VARCHAR(128),
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    is_active TINYINT(1) DEFAULT 1
);

将 D 盘目标目录（如 D:d_files）中的文件扫描后批量插入该表，并确保 relative_path 仅保存相对子路径（不包含盘符或绝对路径前缀）。

安全列出文件（前端展示）
使用 PDO 查询启用状态的文件，仅显示文件名（隐藏路径细节）：

<?php try {
    $pdo = new PDO('mysql:host=localhost;dbname=your_db', $user, $pass);
    $stmt = $pdo->query("SELECT id, filename FROM files WHERE is_active = 1 ORDER BY filename");
    while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
        echo "<a href="download.php?id=%7B%24row[" id target="_blank">{$row['filename']}</a><br>";
    }
} catch (PDOException $e) {
    error_log("File listing failed: " . $e->getMessage());
    echo "<p>暂无可用文件</p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站"><img
														src="https://img.php.cn/upload/skill/000/000/081/179040786932301.jpg" alt="btpanel phpsite 宝塔面板PHP网站" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站" class="overflowclass">btpanel phpsite 宝塔面板PHP网站</a>
													<p class="overflowclass">宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div>";
}
?>

download.php —— 安全下载入口（关键！）
该脚本必须完成三重校验：ID有效性、文件存在性、MIME类型合法性：

<?php // download.php
if (!isset($_GET['id']) || !is_numeric($_GET['id'])) {
    http_response_code(400);
    die("Invalid request");
}

$id = (int)$_GET['id'];
$baseDir = __DIR__ . '/d_files/'; // ✅ 严格限定根目录（如映射到 D:d_files）

try {
    $pdo = new PDO('mysql:host=localhost;dbname=your_db', $user, $pass);
    $stmt = $pdo->prepare("SELECT filename, relative_path FROM files WHERE id = ? AND is_active = 1");
    $stmt->execute([$id]);
    $file = $stmt->fetch(PDO::FETCH_ASSOC);

    if (!$file) {
        http_response_code(404);
        die("File not found or disabled");
    }

    $fullPath = $baseDir . ltrim($file['relative_path'], '/\'); // 防止路径穿越
    if (!is_file($fullPath) || strpos(realpath($fullPath), realpath($baseDir)) !== 0) {
        http_response_code(403);
        die("Access denied");
    }

    $mimeType = mime_content_type($fullPath) ?: 'application/octet-stream';
    header('Content-Type: ' . $mimeType);
    header('Content-Disposition: attachment; filename="' . rawurlencode($file['filename']) . '"');
    header('Content-Length: ' . filesize($fullPath));
    readfile($fullPath);
    exit;
} catch (Exception $e) {
    error_log("Download failed for ID {$id}: " . $e->getMessage());
    http_response_code(500);
    die("Download failed");
}
?>

⚠️ 重要注意事项：