PHP项目下载地址如何隐藏真实路径

wen PHP项目 2026-07-01 110

本文目录导读：

PHP项目下载地址如何隐藏真实路径

使用PHP文件流下载（最推荐）
使用Token验证（增强安全性）
使用.htaccess重写（Apache）
使用符号链接（Symlink）
数据库映射方式
安全建议
完整示例（综合方案）

在PHP项目中隐藏真实下载路径,主要目的是为了防止直接暴露文件的实际存储位置，增强安全性，以下是几种常见且有效的实现方法：

使用PHP文件流下载（最推荐）

通过一个PHP脚本作为中介,用户请求此脚本，脚本再读取真实文件并输出。

实现步骤：

创建下载脚本（download.php）：

<?php
// 文件映射表（隐藏真实路径）
$files = [
    'document1' => [
        'real_path' => '/var/www/secure/files/report.pdf',
        'name' => '年度报告.pdf'
    ],
    'image1' => [
        'real_path' => '/var/www/secure/images/photo.jpg',
        'name' => '照片.jpg'
    ]
];
// 检查请求的文件
if (!isset($_GET['file']) || !array_key_exists($_GET['file'], $files)) {
    die('文件不存在');
}
$file = $files[$_GET['file']];
$realPath = $file['real_path'];
$fileName = $file['name'];
if (!file_exists($realPath)) {
    die('文件不存在');
}
// 设置下载头
header('Content-Description: File Transfer');
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="' . $fileName . '"');
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($realPath));
// 清空输出缓冲区
ob_clean();
flush();
// 读取并输出文件
readfile($realPath);
exit;
?>

前端链接示例：

<a href="download.php?file=document1">下载报告</a>

使用Token验证（增强安全性）

添加临时令牌验证,防止未授权访问。

<?php
session_start();
// 生成下载令牌
function generateDownloadToken($fileId) {
    $token = bin2hex(random_bytes(32));
    $_SESSION['download_tokens'][$token] = [
        'file_id' => $fileId,
        'expires' => time() + 3600  // 1小时有效期
    ];
    return $token;
}
// 验证令牌并下载
if (isset($_GET['token'])) {
    $token = $_GET['token'];
    if (!isset($_SESSION['download_tokens'][$token]) || 
        $_SESSION['download_tokens'][$token]['expires'] < time()) {
        die('令牌无效或已过期');
    }
    $fileId = $_SESSION['download_tokens'][$token]['file_id'];
    // 根据$fileId获取真实路径并下载...
    // 下载后删除令牌（一次性使用）
    unset($_SESSION['download_tokens'][$token]);
}
?>

使用.htaccess重写（Apache）

通过URL重写隐藏实际扩展名和路径。

# .htaccess文件
RewriteEngine On
RewriteRule ^download/([a-zA-Z0-9_-]+)$ download.php?file=$1 [L,QSA]

访问方式：

example.com/download/report123

使用符号链接（Symlink）

创建指向真实文件的符号链接,并放在非公开目录。

# 创建符号链接（在Web根目录外）
ln -s /var/www/secure/real_files/report.pdf /var/www/downloads/link_report.pdf

数据库映射方式

将文件信息存储在数据库中,通过ID访问。

数据库表结构：

CREATE TABLE files (
    id INT PRIMARY KEY AUTO_INCREMENT,
    real_path VARCHAR(500) NOT NULL,
    display_name VARCHAR(255),
    access_key VARCHAR(64) UNIQUE,
    download_count INT DEFAULT 0
);

下载逻辑：

$accessKey = $_GET['key'];
// 查询数据库获取真实路径
$stmt = $pdo->prepare("SELECT * FROM files WHERE access_key = ?");
$stmt->execute([$accessKey]);
$file = $stmt->fetch();
// 然后进行文件流下载

安全建议

存储位置：将文件存放在Web根目录之外
权限控制：配置适当的文件系统权限（通常644）
限制访问：可以添加：
- IP限制
- 防盗链
- 下载频率限制
- 用户认证
文件验证：下载前检查文件是否存在及用户权限
日志记录：记录所有下载行为

完整示例（综合方案）

<?php
class SecureDownloader {
    private $db;
    private $secretKey;
    public function download($encryptedFileId) {
        try {
            // 解密文件ID
            $fileId = $this->decrypt($encryptedFileId);
            // 从数据库获取路径
            $file = $this->getFileFromDB($fileId);
            // 检查权限
            if (!$this->checkPermission($file)) {
                throw new Exception('无权限');
            }
            // 执行下载
            $this->streamFile($file['real_path'], $file['display_name']);
            // 记录日志
            $this->logDownload($fileId);
        } catch (Exception $e) {
            header('HTTP/1.0 403 Forbidden');
            die('下载失败');
        }
    }
    private function streamFile($path, $name) {
        // 实现文件流下载
    }
}
?>

选择哪种方法取决于你的具体需求：