PHP文件服务器实战：实现目录浏览与文件下载功能-php教程-PHP中文网

PHP文件服务器实战：实现目录浏览与文件下载功能

DDD

发布： 2025-10-23 10:33:24

原创

1137人浏览过

PHP文件服务器实战：实现目录浏览与文件下载功能

本教程详细介绍了如何使用php构建一个简易的文件服务器，实现用户在浏览器中浏览指定目录下的文件和子文件夹，并能够点击下载文件或进入子文件夹继续浏览。文章将通过`filesystemiterator`遍历目录内容，区分文件和文件夹，并生成相应的导航及下载链接。同时，教程重点强调了文件服务器在实现过程中必须考虑的安全风险，特别是路径遍历漏洞及其防范措施，确保系统稳定与安全。

构建PHP文件服务器：实现目录浏览与文件下载

在Web开发中，有时我们需要提供一个功能，允许用户通过浏览器查看服务器上特定目录的内容，并能够下载文件或进一步探索子目录。本教程将指导您如何使用PHP实现这样一个简易但功能完备的文件服务器。

核心功能实现：目录浏览与文件下载

实现文件服务器的关键在于动态读取服务器文件系统，并根据文件类型生成不同的交互链接。

初始化与目录设置 首先，我们需要定义一个基础目录（$baseDir），这是用户可以访问的根目录。当前用户正在浏览的目录（$currentDir）则通过$_GET['dir']参数获取，如果未指定，则默认为$baseDir。为了防止路径拼接问题，我们使用rtrim()移除路径末尾的斜杠。
```
<?php
$baseDir    = "/var/www/html/test"; // 定义服务器上的基础可访问目录
$currentDir = !empty($_GET['dir']) ? $_GET['dir'] : $baseDir;
$currentDir = rtrim($currentDir, '/'); // 确保路径末尾没有斜杠
```
登录后复制

文件下载逻辑 当用户点击一个文件下载链接时，请求中会包含$_GET['download']参数。此时，服务器应读取该文件内容并发送给浏览器，强制浏览器进行下载操作。readfile()函数用于直接输出文件内容，exit;用于终止后续的PHP脚本执行。

if (isset($_GET['download'])) {
    $filePath = $_GET['download'];
    // 进一步的安全检查：确保下载路径在允许的范围内
    // 例如：if (strpos(realpath($filePath), realpath($baseDir)) === 0) { ... }
    if (file_exists($filePath) && is_file($filePath)) {
        header('Content-Description: File Transfer');
        header('Content-Type: application/octet-stream');
        header('Content-Disposition: attachment; filename="' . basename($filePath) . '"');
        header('Expires: 0');
        header('Cache-Control: must-revalidate');
        header('Pragma: public');
        header('Content-Length: ' . filesize($filePath));
        readfile($filePath);
        exit;
    } else {
        // 文件不存在或不是文件，可以返回404或错误信息
        http_response_code(404);
        echo "文件不存在或无法下载。";
        exit;
    }
}

登录后复制

遍历目录内容与生成链接 使用FilesystemIterator可以高效地遍历指定目录下的所有文件和子目录。在循环中，我们通过is_dir()和is_file()函数判断当前项是文件夹还是文件，并据此生成不同的链接。

文件夹链接：点击后会刷新页面，并带上dir参数，指向新的子目录，实现目录导航。
文件链接：点击后触发下载。download属性可以指定下载时的文件名，download参数则用于触发上述下载逻辑。

echo "<h3>当前目录: " . htmlspecialchars($currentDir) . "</h3>"; // 显示当前路径

try {
    $iterator = new FilesystemIterator($currentDir);
    foreach ($iterator as $entry) {
        $name = $entry->getBasename(); // 获取文件或目录名

        // 跳过隐藏文件或特殊目录（如.和..），根据需要调整
        if ($name === '.' || $name === '..') {
            continue;
        }

        if ($entry->isDir()) {
            // 文件夹：生成一个链接，点击后进入该子目录
            echo "D: <a href='?dir=" . urlencode($currentDir . "/" . $name) . "'>" . htmlspecialchars($name) . "</a><br />";
        } elseif ($entry->isFile()) {
            // 文件：生成一个下载链接
            echo "F: <a href='?download=" . urlencode($currentDir . '/' . $name) . "' download='" . htmlspecialchars($name) . "'> " . htmlspecialchars($name) . " </a><br />";
        }
    }
} catch (UnexpectedValueException $e) {
    echo "无法访问目录: " . htmlspecialchars($currentDir) . "。错误信息: " . $e->getMessage();
}

登录后复制

完整示例代码

将上述代码片段整合，构成一个完整的文件服务器脚本。请将此PHP文件放置在您的Web服务器可访问的目录中（例如/var/www/html/test/index.php），并将$baseDir调整为实际的根目录。

<?php
// 1. 定义基础目录和当前目录
$baseDir    = "/var/www/html/test/src"; // 设定用户可访问的根目录
$currentDir = !empty($_GET['dir']) ? $_GET['dir'] : $baseDir;
$currentDir = rtrim($currentDir, '/'); // 确保路径末尾没有斜杠

// 2. 安全检查：防止路径遍历
// 确保 $currentDir 始终在 $baseDir 之下
$realBaseDir = realpath($baseDir);
$realCurrentDir = realpath($currentDir);

if ($realCurrentDir === false || strpos($realCurrentDir, $realBaseDir) !== 0) {
    // 尝试访问 $baseDir 之外的目录，重定向或显示错误
    header("Location: ?dir=" . urlencode($baseDir));
    exit("非法目录访问尝试。");
}
$currentDir = $realCurrentDir; // 使用安全验证后的真实路径

// 3. 处理文件下载请求
if (isset($_GET['download'])) {
    $filePath = $_GET['download'];

    // 再次进行安全检查：确保下载的文件也在允许的范围内
    $realFilePath = realpath($filePath);
    if ($realFilePath === false || strpos($realFilePath, $realBaseDir) !== 0 || !is_file($realFilePath)) {
        http_response_code(404);
        exit("文件不存在或无权访问。");
    }

    header('Content-Description: File Transfer');
    header('Content-Type: application/octet-stream');
    header('Content-Disposition: attachment; filename="' . basename($realFilePath) . '"');
    header('Expires: 0');
    header('Cache-Control: must-revalidate');
    header('Pragma: public');
    header('Content-Length: ' . filesize($realFilePath));
    readfile($realFilePath);
    exit;
}

// 4. 显示当前目录路径
echo "<h3>当前目录: " . htmlspecialchars(str_replace($realBaseDir, '', $currentDir) ?: '/') . "</h3>";

// 5. 生成返回上一级目录的链接 (如果不是根目录)
if ($currentDir !== $realBaseDir) {
    $parentDir = dirname($currentDir);
    echo "D: <a href='?dir=" . urlencode($parentDir) . "'>.. (返回上一级)</a><br />";
}

// 6. 遍历目录内容并生成链接
try {
    $iterator = new FilesystemIterator($currentDir);
    foreach ($iterator as $entry) {
        $name = $entry->getBasename();

        // 排除隐藏文件和特殊目录（如.和..）
        if (substr($name, 0, 1) === '.') {
            continue;
        }

        if ($entry->isDir()) {
            echo "D: <a href='?dir=" . urlencode($currentDir . "/" . $name) . "'>" . htmlspecialchars($name) . "</a><br />";
        } elseif ($entry->isFile()) {
            echo "F: <a href='?download=" . urlencode($currentDir . '/' . $name) . "' download='" . htmlspecialchars($name) . "'> " . htmlspecialchars($name) . " </a><br />";
        }
    }
} catch (UnexpectedValueException $e) {
    echo "无法访问目录: " . htmlspecialchars($currentDir) . "。错误信息: " . $e->getMessage();
}
?>

登录后复制

安全注意事项

构建文件服务器时，安全性是至关重要的。不当的实现可能导致严重的安全漏洞，例如路径遍历（Path Traversal）攻击。

立即学习“PHP免费学习笔记（深入）”；

ViiTor实时翻译

AI实时多语言翻译专家！强大的语音识别、AR翻译功能。

116

查看详情

路径遍历漏洞 (Path Traversal) 攻击者可能会通过修改URL中的dir或download参数，如?dir=../../../../etc，尝试访问$baseDir之外的服务器敏感文件或目录。如果不对用户输入进行严格验证，服务器就可能暴露在风险之中。
防御策略
- 限制基础目录：始终将用户可访问的范围限制在一个预定义的基础目录（$baseDir）内。
- 使用realpath()进行路径规范化：realpath()函数可以将相对路径转换为绝对路径，并解析所有..和.。通过比较realpath()处理后的用户请求路径是否仍然在realpath($baseDir)之下，可以有效防止路径遍历。
- 严格输入验证：对$_GET['dir']和$_GET['download']等所有用户输入进行过滤和验证。除了realpath()，还可以结合basename()来确保路径的每个组件都是有效的。
- urlencode()和htmlspecialchars()：在生成URL参数和显示文件名时，务必使用urlencode()对URL参数进行编码，并使用htmlspecialchars()对显示内容进行转义，以防止XSS（跨站脚本攻击）。
- 权限管理：确保Web服务器运行的用户账户对$baseDir之外的目录没有读写权限。

在上述完整示例代码中，我们已经加入了realpath()的验证逻辑，以增强安全性。

总结

通过本教程，您应该已经掌握了如何使用PHP和FilesystemIterator构建一个基本的Web文件服务器，实现目录浏览和文件下载功能。然而，构建任何与文件系统交互的Web应用，安全性都是首要考虑的因素。务必对所有用户输入进行严格验证和过滤，以防范路径遍历等常见的安全漏洞，确保您的文件服务器安全可靠地运行。在生产环境中，可能还需要考虑用户认证、文件上传、权限细分等更复杂的功能。

以上就是PHP文件服务器实战：实现目录浏览与文件下载功能的详细内容，更多请关注php中文网其它相关文章！