PHP文件下载功能需正确设置响应头、验证文件路径、处理中文文件名、校验下载权限并加固安全头。具体包括：用header()配合readfile()或fpassthru()输出文件；按浏览器适配中文名编码；校验会话、Referer和token；映射真实MIME类型并添加X-Content-Type-Options等安全头。
如果您的PHP网站需要为用户提供文件下载服务，但用户点击下载链接后无法获取文件或出现错误提示，则可能是由于响应头设置不正确、文件路径不可访问或输出被意外截断。以下是实现PHP文件下载功能的具体步骤：
一、使用header()设置响应头并读取文件内容
该方法通过强制浏览器将响应识别为文件下载，避免在页面中直接显示文件内容。关键在于正确设置Content-Type和Content-Disposition头，并确保文件内容完整输出。
1、确认待下载文件的绝对路径，例如/var/www/files/report.pdf。
2、使用file_exists()检查文件是否存在，若不存在则终止脚本执行。
立即学习“PHP免费学习笔记（深入）”；
3、调用header('Content-Type: application/octet-stream');声明二进制流类型。
4、调用header('Content-Disposition: attachment; filename="report.pdf"');触发下载对话框并指定默认文件名。
5、调用header('Content-Length: ' . filesize($filepath));告知浏览器文件大小。
6、使用readfile($filepath)一次性输出文件全部内容。
7、在readfile()后添加exit;防止后续输出干扰响应流。
二、使用fpassthru()配合fopen()逐块传输大文件
对于大体积文件（如超过100MB），直接使用readfile()可能引发内存溢出。此方法通过打开文件句柄并分块读取，降低内存占用，同时保持HTTP响应完整性。
1、使用$fp = fopen($filepath, 'rb');以只读二进制模式打开文件。
2、验证$fp是否为有效资源，否则中止执行。
3、设置与方法一相同的Content-Type、Content-Disposition和Content-Length响应头。
4、调用fpassthru($fp)将文件指针位置开始的所有剩余数据写入输出缓冲区。
5、执行fclose($fp)关闭文件句柄。
6、立即执行exit;确保无额外输出。
三、支持中文文件名的兼容性处理
当下载文件名为中文时，不同浏览器对Content-Disposition中filename参数的编码要求不同。需根据User-Agent动态适配编码格式，避免文件名乱码或截断。
1、获取客户端浏览器信息：$userAgent = $_SERVER['HTTP_USER_AGENT'] ?? '';
2、判断是否为Chrome或Edge：if (strpos($userAgent, 'Chrome') !== false || strpos($userAgent, 'Edg') !== false)。
3、对中文文件名进行rawurlencode()编码，并构造filename*=UTF-8''{encoded}格式。
4、对Firefox，使用mb_convert_encoding($filename, 'ISO-8859-1', 'UTF-8')转换后填入filename="..."。
5、对Safari，采用iconv('UTF-8', 'UTF-7', $filename)编码并拼入filename="..."。
6、最终组合Content-Disposition头，优先发送filename*字段，再补充filename字段作为兼容回退。
四、限制下载权限与防盗链校验
为防止未授权访问或外部站点直接引用下载链接，需在输出文件前验证用户会话状态及请求来源。该步骤确保仅合法用户可在指定上下文中触发下载行为。
1、启动会话：session_start();并检查$_SESSION['user_id']是否存在且有效。
2、验证当前请求是否来自本站域名：parse_url($_SERVER['HTTP_REFERER'], PHP_URL_HOST)是否等于$_SERVER['HTTP_HOST']。
3、检查GET参数中是否包含一次性token，该token应在生成下载链接时由服务端签名生成，并在本次请求中验证其时效性与完整性。
4、调用自定义函数validate_download_token($_GET['token'], $_SESSION['user_id'], $filepath)返回布尔值。
5、若任一校验失败，返回HTTP 403状态码并输出Access Denied，不执行任何文件输出操作。
6、所有校验通过后，才进入实际文件输出流程。
五、处理特殊MIME类型与安全头加固
为防止浏览器误解析可执行文件或HTML文档造成XSS风险，需严格控制Content-Type，并添加安全响应头抑制危险行为。
1、根据文件扩展名映射精确MIME类型，例如.exe对应application/vnd.microsoft.portable-executable，而非通用application/octet-stream。
2、调用finfo_open(FILEINFO_MIME_TYPE)检测真实文件类型，与扩展名比对，若不一致则中止下载并记录告警。
3、添加header('X-Content-Type-Options: nosniff');阻止MIME嗅探。
4、添加header('X-Frame-Options: DENY');禁止页面被嵌入iframe。
5、添加header('Content-Security-Policy: default-src \'none\';');进一步限制资源加载策略。
6、完成所有安全头设置后，再执行文件内容输出指令。
