PHP实现大文件分片下载及安全控制方法

本文深入剖析了PHP中大文件下载的常见陷阱与性能瓶颈，指出直接使用file_get_contents()或readfile()处理大于10MB的文件极易引发内存溢出、进程被Web服务器强制终止、浏览器卡死或返回500/502错误等问题，并强调这并非代码缺陷，而是架构设计层面的根本性误用；文章进一步给出务实建议——中小文件可谨慎配合set_time_limit(0)和ignore_user_abort(true)使用readfile()，而真正的大文件下载必须转向分片流式传输与精细化安全控制方案，为开发者提供既稳定又安全的生产级实现路径。

PHP 直接输出文件下载容易触发内存溢出

大文件（比如 >10MB）用 readfile() 或 file_get_contents() 一次性读入内存再输出，PHP 进程会吃光内存，Nginx/Apache 可能直接 kill 掉进程，浏览器卡死或返回 500/502。这不是代码写错，是设计误用。

实操建议：

• 永远避免 file_get_contents($path) + echo 下载大文件
• 用 readfile() 前必须加 set_time_limit(0) 和 ignore_user_abort(true)，但仅限中小文件（
• 真正安全的做法：不加载内容进 PHP 内存，改用 fpassthru() 配合 fopen('php://output') 流式传输
• 务必在输出前调用 ob_end_clean() 清掉所有已缓存输出，否则 HTTP 头会混乱

header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="report.pdf"');
header('Content-Length: ' . filesize($path));
readfile($path); // ❌ 危险！

header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="report.pdf"');
$fp = fopen($path, 'rb');
header('Content-Length: ' . filesize($path));
fpassthru($fp); // ✅ 流式，内存恒定 ~64KB
fclose($fp);

分片下载（Range 请求）必须手动解析并响应 206

浏览器点暂停/续传、用下载工具多线程拉取，都会发带 Range 头的请求。PHP 默认不处理，直接返回 200 + 全量内容，客户端就认为“断点失败”，重头开始下。

实操建议：

• 先检查 $_SERVER['HTTP_RANGE'] 是否存在，格式是否为 bytes=0-1023
• 不能只用 header('HTTP/1.1 206 Partial Content')，必须同步设置 Content-Range、Content-Length 和实际二进制片段
• 文件指针要用 fseek($fp, $start) 定位，再用 fread($fp, $length) 精确读取，别用 substr(file_get_contents(), ...)
• 注意 Content-Range 格式：必须是 bytes 0-1023/12345，末尾总大小不能写错，否则 Chrome 拒绝接受

$range = $_SERVER['HTTP_RANGE'] ?? '';
if (preg_match('/^bytes=(\d+)-(\d+)?/', $range, $matches)) {
    $start = (int)$matches[1];
    $end = $matches[2] !== '' ? (int)$matches[2] : $size - 1;
    $length = $end - $start + 1;
    header('HTTP/1.1 206 Partial Content');
    header("Content-Range: bytes $start-$end/$size");
    header("Content-Length: $length");
    fseek($fp, $start);
    echo fread($fp, $length);
}

权限校验不能放在文件路径拼接之后

常见错误：用户传 ?file=../../etc/passwd，后端直接 readfile($_GET['file'])，导致任意文件读取。哪怕你做了白名单，也常因 realpath() 路径归一化失败或符号链接绕过而翻车。

实操建议：

• 绝对路径必须从一个预设根目录（如 /var/www/downloads/）开始拼，禁止接收用户输入的相对路径片段
• 用 basename($_GET['file']) 提取文件名，再拼到白名单目录下，彻底丢弃原始路径结构
• 校验前先 is_file() + is_readable()，但注意：这两个函数对 symlink 有效，要防住 /proc/self/environ 类特殊路径，得额外 realpath() 后比对是否仍在白名单目录内
• 敏感操作（如下载日志、导出数据）建议走 ID 映射，前端传 ?id=abc123，后端查数据库确认该 ID 对应合法文件路径

Apache/Nginx 对大文件下载有默认代理超时和缓冲限制

即使 PHP 层流式输出正确，反向代理或 Web 服务器自身也会截断响应。典型现象：Chrome 显示“网络连接中断”，Nginx error log 出现 upstream prematurely closed connection，或者下载到 60 秒自动终止。

实操建议：

• Nginx 需调大：proxy_read_timeout 300、proxy_buffering off（禁用缓冲）、send_timeout 300
• Apache 需确认：Timeout 和 ProxyTimeout 都设为 ≥300，且禁用 mod_deflate（压缩大文件会吃光内存）
• PHP-FPM 需同步调整：request_terminate_timeout 和 request_slowlog_timeout，否则 FPM worker 自己先超时退出
• 测试时用 curl -v -r 0-1023 http://yoursite/file.zip 检查是否返回 206 和正确 Content-Range，比浏览器更准

分片下载的边界逻辑、路径净化、Web 服务器协同，这三处任何一个没对齐，下载就会在某个环节静默失败——不是报错，而是表现异常，调试起来最花时间。

终于介绍完啦！小伙伴们，这篇关于《PHP实现大文件分片下载及安全控制方法》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识，快来关注吧！