本文目录导读：
在PHP项目中隐藏真实下载路径,主要目的是为了防止直接暴露文件的实际存储位置，增强安全性，以下是几种常见且有效的实现方法：
使用PHP文件流下载（最推荐）
通过一个PHP脚本作为中介,用户请求此脚本，脚本再读取真实文件并输出。
实现步骤：
创建下载脚本（download.php）：
<?php
// 文件映射表（隐藏真实路径）
$files = [
'document1' => [
'real_path' => '/var/www/secure/files/report.pdf',
'name' => '年度报告.pdf'
],
'image1' => [
'real_path' => '/var/www/secure/images/photo.jpg',
'name' => '照片.jpg'
]
];
// 检查请求的文件
if (!isset($_GET['file']) || !array_key_exists($_GET['file'], $files)) {
die('文件不存在');
}
$file = $files[$_GET['file']];
$realPath = $file['real_path'];
$fileName = $file['name'];
if (!file_exists($realPath)) {
die('文件不存在');
}
// 设置下载头
header('Content-Description: File Transfer');
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="' . $fileName . '"');
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($realPath));
// 清空输出缓冲区
ob_clean();
flush();
// 读取并输出文件
readfile($realPath);
exit;
?>
前端链接示例：
<a href="download.php?file=document1">下载报告</a>
使用Token验证（增强安全性）
添加临时令牌验证,防止未授权访问。
<?php
session_start();
// 生成下载令牌
function generateDownloadToken($fileId) {
$token = bin2hex(random_bytes(32));
$_SESSION['download_tokens'][$token] = [
'file_id' => $fileId,
'expires' => time() + 3600 // 1小时有效期
];
return $token;
}
// 验证令牌并下载
if (isset($_GET['token'])) {
$token = $_GET['token'];
if (!isset($_SESSION['download_tokens'][$token]) ||
$_SESSION['download_tokens'][$token]['expires'] < time()) {
die('令牌无效或已过期');
}
$fileId = $_SESSION['download_tokens'][$token]['file_id'];
// 根据$fileId获取真实路径并下载...
// 下载后删除令牌（一次性使用）
unset($_SESSION['download_tokens'][$token]);
}
?>
使用.htaccess重写（Apache）
通过URL重写隐藏实际扩展名和路径。
# .htaccess文件 RewriteEngine On RewriteRule ^download/([a-zA-Z0-9_-]+)$ download.php?file=$1 [L,QSA]
访问方式：
example.com/download/report123使用符号链接（Symlink）
创建指向真实文件的符号链接,并放在非公开目录。
# 创建符号链接（在Web根目录外） ln -s /var/www/secure/real_files/report.pdf /var/www/downloads/link_report.pdf
数据库映射方式
将文件信息存储在数据库中,通过ID访问。
数据库表结构：
CREATE TABLE files (
id INT PRIMARY KEY AUTO_INCREMENT,
real_path VARCHAR(500) NOT NULL,
display_name VARCHAR(255),
access_key VARCHAR(64) UNIQUE,
download_count INT DEFAULT 0
);
下载逻辑：
$accessKey = $_GET['key'];
// 查询数据库获取真实路径
$stmt = $pdo->prepare("SELECT * FROM files WHERE access_key = ?");
$stmt->execute([$accessKey]);
$file = $stmt->fetch();
// 然后进行文件流下载
安全建议
-
存储位置：将文件存放在Web根目录之外
-
权限控制：配置适当的文件系统权限（通常644）
-
限制访问：可以添加：
- IP限制
- 防盗链
- 下载频率限制
- 用户认证
-
文件验证：下载前检查文件是否存在及用户权限
-
日志记录：记录所有下载行为
完整示例（综合方案）
<?php
class SecureDownloader {
private $db;
private $secretKey;
public function download($encryptedFileId) {
try {
// 解密文件ID
$fileId = $this->decrypt($encryptedFileId);
// 从数据库获取路径
$file = $this->getFileFromDB($fileId);
// 检查权限
if (!$this->checkPermission($file)) {
throw new Exception('无权限');
}
// 执行下载
$this->streamFile($file['real_path'], $file['display_name']);
// 记录日志
$this->logDownload($fileId);
} catch (Exception $e) {
header('HTTP/1.0 403 Forbidden');
die('下载失败');
}
}
private function streamFile($path, $name) {
// 实现文件流下载
}
}
?>
选择哪种方法取决于你的具体需求：
- 简单需求：方法1就足够了
- 高安全性：方法2（Token）或数据库映射
- SEO友好：结合URL重写
记得始终将敏感文件放在公开目录之外,并通过PHP脚本进行安全控制。
