Java文件下载核心是设置Content-Disposition为attachment并指定文件名，配合Content-Type和流式传输，同时严格校验路径防遍历与越权。

Java项目中添加文件下载功能，核心是让服务器正确响应HTTP请求，把文件内容以合适的方式传给浏览器，并提示用户保存。关键不在于“怎么读文件”，而在于“怎么告诉浏览器这是个要下载的文件”。

设置正确的响应头

浏览器是否弹出下载框，主要看Content-Disposition响应头。必须显式声明为attachment，并附上建议的文件名：

• Content-Type：尽量设为application/octet-stream（通用二进制流），避免浏览器尝试解析或渲染；若明确类型（如PDF、Excel），也可用application/pdf等，但不强制影响下载行为
• Content-Disposition：必须包含attachment; filename="xxx.pdf"；注意中文文件名需用filename*=UTF-8''xxx.pdf方式编码，防止乱码
• Content-Length（可选但推荐）：写入文件大小，有助于浏览器显示进度条

流式写出文件内容，避免内存溢出

不要把整个文件读进内存再写出去，尤其面对大文件（如100MB日志、视频片段）。应使用InputStream → OutputStream直接管道传输：

• 用Files.newInputStream()或new FileInputStream()打开源文件
• 从HttpServletResponse.getOutputStream()获取输出流
• 用IOUtils.copy()（Apache Commons IO）或Files.copy()（JDK7+）完成流复制
• 务必finally块中关闭输入流，输出流由容器管理，一般不手动关

安全控制：禁止路径遍历与越权访问

用户传来的文件名不能直接拼路径，否则可能触发../etc/passwd这类攻击：

Java Maven Common

Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。

下载

立即学习“Java免费学习笔记（深入）”；

• 只允许访问预设目录（如/WEB-INF/downloads/），所有文件路径必须基于该根目录构建
• 对用户传参的文件名做白名单校验：仅保留字母、数字、下划线、短横线、点号；或用FilenameUtils.getName()提取纯文件名，丢弃路径部分
• 敏感文件（如配置文件、数据库备份）不应放在可下载路径下；权限控制建议结合登录态和业务规则（如“只有订单创建人才能下载对应发票”）

常见场景补充说明

实际开发中常遇到几种典型需求：

• 动态生成文件再下载：如导出Excel报表，用Apache POI生成ByteArrayOutputStream，再转为ByteArrayInputStream写入响应流
• 断点续传支持：需处理Range请求头，返回206 Partial Content，适用于大文件分片下载（如视频）
• 前端触发方式：普通链接即可；如需带参数或POST请求，可用fetch + Blob + URL.createObjectURL()或隐藏<form>提交

基本上就这些。不复杂但容易忽略细节——尤其是响应头和路径校验，线上出问题往往就在这两处。