答案是实现PHP文件下载需正确设置响应头并保障安全。首先通过header()设置Content-Type、Content-Disposition等头部，确保浏览器以附件形式下载；使用ob_clean()清除缓冲区，readfile()输出文件内容。针对中文文件名乱码，需根据用户代理对filename进行rawurlencode编码，兼容IE等浏览器。安全性方面，应将文件存于Web目录外，验证路径合法性，防止目录遍历，过滤用户输入。大文件可采用分段读取降低内存消耗，最终实现稳定安全的下载功能。
实现PHP文件下载功能，关键在于正确设置HTTP响应头信息，告诉浏览器不要直接打开文件，而是将其作为附件下载。同时要确保文件路径安全、文件存在且可读。
设置正确的下载头信息
通过header()函数发送特定的响应头，控制浏览器行为：
- Content-Type：设置为application/octet-stream或application/download，表示二进制流，避免浏览器尝试解析
- Content-Disposition：使用attachment; filename="xxx"提示浏览器下载并建议文件名
- Content-Length：告知文件大小，有助于下载进度显示
- Content-Transfer-Encoding：可选，一般设为binary
示例代码：
$filePath = 'uploads/example.pdf';
$fileName = basename($filePath);
if (file_exists($filePath) && is_readable($filePath)) {
// 清除缓冲区防止输出干扰
ob_clean();
flush();
// 设置头信息
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="' . urlencode($fileName) . '"');
header('Content-Length: ' . filesize($filePath));
header('Content-Transfer-Encoding: binary');
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
// 输出文件内容
readfile($filePath);
exit;
} else {
http_response_code(404);
echo "文件未找到或不可读。";
}
处理中文文件名乱码问题
直接使用中文文件名可能导致下载时乱码。推荐做法是统一用英文名，或根据浏览器兼容方式编码：
立即学习“PHP免费学习笔记（深入）”；
- 使用rawurlencode()处理文件名
- 对IE等旧浏览器可添加filename*=UTF-8''参数
改进的文件名设置：
$ua = $_SERVER['HTTP_USER_AGENT'];
$encodedName = rawurlencode($fileName);
if (preg_match('/MSIE|Trident/', $ua)) {
header('Content-Disposition: attachment; filename="' . $encodedName . '"');
} else {
header('Content-Disposition: attachment; filename="' . $fileName . '"; filename*=UTF-8\'\'' . $encodedName);
}
增强安全性与稳定性
避免暴露服务器路径，防止目录遍历攻击：
- 将文件存放在Web根目录外，不通过URL直接访问
- 验证文件路径合法性，限制可下载的目录范围
- 对用户传参进行过滤，如只允许字母数字下划线
- 大文件下载可考虑分段读取（fread + while循环），减少内存占用
基本上就这些。核心是头信息设置准确，配合路径安全检查，就能稳定实现文件下载功能。
