php防止用户通过url直接下载

首先我们应该提供给用户除了url下载之外的下载手段，php可以通过文件输入输出流来完成这个任务。

function download($fname,$fpath="download/"){

        //避免中文文件名出现检测不到文件名的情况，进行转码utf-8->gbk
        $filename=iconv('utf-8', 'gb2312', $fname);
       $path=$fpath.$filename;
        if(!file_exists($path)){//检测文件是否存在
            echo "文件不存在！";
           die();
        }  
        
        $fp=fopen($path,'r');//只读方式打开
        $filesize=filesize($path);//文件大小
        
        //返回的文件(流形式)
        header("Content-type: application/octet-stream");
        //按照字节大小返回
        header("Accept-Ranges: bytes");
        //返回文件大小
        header("Accept-Length: $filesize");
        //这里客户端的弹出对话框，对应的文件名
        header("Content-Disposition: attachment; filename=".$filename);
        //================重点====================
        ob_clean();//清空缓冲区缓存
       flush();
        //=================重点===================
        $buffer=1024;//设置fread（）每次读取的最大字节数，好像是防止http包过大
        //来个文件字节计数器
        $count=0;
        while(!feof($fp)&&($filesize-$count>0)){
            $data=fread($fp,$buffer);
            $count+=$data;//计数
            echo $data;//传数据给浏览器端
        }   
        fclose($fp);
    }   
download($_GET['filename']);
}

这里用到了header（）函数，这个函数的作用是在真正发送文件之前提前向浏览器发送HTTP报头。

菜鸟教程：https://www.runoob.com/php/func-http-header.html

然后就是进制用户通过url访问文件，假设文件防在网站根目录的download文件夹下，那么在nginx中的site-enable下的default下增加这个。禁止nginx访问download文件夹。

location ^~ /download/ {
          deny all;
        }