PHP实现登录用户专属文件下载：安全访问控制指南

<FilesMatch "\.(zip)$">
  Order Allow,Deny
  Deny from all
</FilesMatch>

<?php
session_start(); // 启动会话

// 检查用户是否已登录
if (isset($_SESSION['loggedin']) && $_SESSION['loggedin'] === true) {
    // 用户已登录，继续处理文件下载
    // ...
} else {
    // 用户未登录，拒绝访问
    echo "请先登录才能下载文件。";
    exit; // 终止脚本执行
}
?>

// 假设文件存储在 webroot 之外的某个安全目录
$download_dir = '/absolute/path/to/your/data/downloads/'; // 务必使用绝对路径

// 从GET参数获取文件名，并进行清理，只保留文件名部分
$requested_file_name = basename($_GET['file'] ?? ''); // 使用 ?? 运算符处理未设置的情况
if (empty($requested_file_name)) {
    echo "文件名无效。";
    exit;
}

// 假设您的文件都是 .zip 格式
$file_to_serve = $download_dir . $requested_file_name . ".zip";

// 检查文件是否存在
if (!file_exists($file_to_serve)) {
    echo "文件不存在。";
    exit;
}

// 获取文件的实际名称，用于 Content-Disposition
$file_name_for_download = basename($file_to_serve);

header("Content-Type: application/zip");
header("Content-Disposition: attachment; filename=\"$file_name_for_download\"");
header("Content-Length: " . filesize($file_to_serve));
header("Pragma: public"); // 兼容IE
header("Expires: 0"); // 兼容IE
header("Cache-Control: must-revalidate, post-check=0, pre-check=0"); // 兼容IE

readfile($file_to_serve);
exit; // 文件发送完毕后，终止脚本执行

<?php
session_start(); // 1. 启动会话

// 2. 检查用户是否已登录
if (isset($_SESSION['loggedin']) && $_SESSION['loggedin'] === true) {
    // 3. 定义文件存储目录（建议在Webroot之外）
    // 替换为您的实际绝对路径，例如：/var/www/data/downloads/
    $download_dir = '/path/to/your/data/downloads/'; 

    // 4. 从GET参数获取文件名并进行安全处理
    $requested_file_name = basename($_GET['file'] ?? ''); 
    if (empty($requested_file_name)) {
        echo "文件名无效。";
        exit;
    }

    // 5. 构建完整的文件路径
    // 假设所有下载文件都是 .zip 格式
    $file_to_serve = $download_dir . $requested_file_name . ".zip";

    // 6. 检查文件是否存在
    if (!file_exists($file_to_serve)) {
        echo "文件不存在或已删除。";
        exit;
    }

    // 7. 获取文件的实际名称，用于下载时的文件名
    $file_name_for_download = basename($file_to_serve);

    // 8. 设置HTTP头以强制下载
    header("Content-Type: application/zip");
    header("Content-Disposition: attachment; filename=\"$file_name_for_download\"");
    header("Content-Length: " . filesize($file_to_serve));
    header("Pragma: public"); 
    header("Expires: 0"); 
    header("Cache-Control: must-revalidate, post-check=0, pre-check=0"); 

    // 9. 读取文件并输出到浏览器
    readfile($file_to_serve);
    exit; // 10. 终止脚本执行
} else {
    // 用户未登录，拒绝访问
    echo "请先登录才能下载文件。";
    exit;
}
?>

<a href="download.php?file=my_document">下载我的文档</a>
<a href="download.php?file=report_q4">下载第四季度报告</a>