PHP强制下载文件需设置Content-Disposition头，检查文件存在性与权限，支持大文件流式输出、安全路径校验、中文名RFC 5987编码及断点续传。
如果需要在PHP中实现文件下载功能，必须绕过浏览器默认的文件打开行为，强制触发下载对话框。以下是几种可靠的强制下载文件方法：
一、使用header设置Content-Disposition
该方法通过设置HTTP响应头，告知浏览器将响应内容作为附件下载，而非在页面中显示或打开。
1、确认目标文件路径存在且可读，例如$file_path = '/var/www/files/report.pdf'；
2、使用file_exists()检查文件是否存在，不存在则终止脚本；
立即学习“PHP免费学习笔记（深入）”；
3、调用header('Content-Type: application/octet-stream')指定二进制流类型；
4、调用header('Content-Disposition: attachment; filename="' . basename($file_path) . '"')设置下载文件名；
5、调用header('Content-Length: ' . filesize($file_path))声明文件大小；
6、使用readfile($file_path)输出文件内容并结束脚本。
二、使用fpassthru配合fopen
此方法适用于大文件场景，避免内存溢出，通过文件指针逐块读取并直接输出到输出缓冲区。
1、使用fopen($file_path, 'rb')以只读二进制模式打开文件；
2、检查资源是否有效，无效则返回错误并退出；
3、设置Content-Type为application/octet-stream；
4、设置Content-Disposition为attachment，并指定原始文件名；
5、设置Content-Transfer-Encoding为binary；
6、调用fpassthru()将文件指针内容直接写入输出流；
7、调用fclose()关闭文件句柄。
三、添加安全校验与路径防护
防止目录遍历攻击（如../）和非法文件类型访问，需对用户传入的文件标识进行严格过滤与白名单验证。
1、禁止直接使用$_GET['file']等未处理参数拼接路径；
2、将允许下载的文件限定在固定目录下，例如$base_dir = '/var/www/downloads/'；
3、使用basename()提取参数中的文件名，丢弃所有路径信息；
4、定义合法扩展名数组，如$allowed_exts = ['pdf', 'zip', 'xlsx', 'txt']；
5、通过pathinfo($filename, PATHINFO_EXTENSION)获取扩展名并校验是否在白名单中；
6、拼接完整路径后再次使用realpath()和strpos()验证是否仍在$base_dir内；
7、若任一校验失败，立即返回403状态并终止执行。
四、支持中文文件名的兼容方案
为解决IE、Edge等旧浏览器对UTF-8中文文件名不识别的问题，需按RFC 5987标准构造编码后的Content-Disposition头。
1、获取原始文件名，例如$orig_name = '报表2024年汇总.xlsx'；
2、使用mb_convert_encoding($orig_name, 'UTF-8', 'auto')确保字符串为UTF-8编码；
3、对UTF-8文件名进行rawurlencode处理；
4、构造兼容头：header("Content-Disposition: attachment; filename*=UTF-8''" . rawurlencode($orig_name))；
5、同时提供兼容性fallback：header("Content-Disposition: attachment; filename=\"" . mb_substr($orig_name, 0, 100, 'UTF-8') . "\"")；
6、注意：fallback文件名长度应限制在100字符以内，避免截断乱码。
五、处理大文件的分段输出与断点续传支持
对于超大文件（如大于1GB），需启用分段输出并支持Range请求，以兼容下载工具断点续传能力。
1、使用getallheaders()或$_SERVER获取HTTP头中的Range字段；
2、若存在Range头，解析起始与结束字节位置，例如bytes=0-1023；
3、设置状态码为206 Partial Content；
4、设置Content-Range头，格式为Content-Range: bytes 0-1023/10485760；
5、设置Content-Length为本次输出的字节数（结束减开始加1）；
6、使用fseek($fp, $start)定位文件指针；
7、循环调用fread()分块读取并echo，每输出8192字节后调用ob_flush()和flush()；
8、必须禁用output buffering，否则flush无效。
