PHP强制下载需正确设置四个HTTP响应头：Content-Type、Content-Disposition（含rawurlencode处理中文名）、Content-Length和Content-Transfer-Encoding，且必须在任何输出前调用；大文件应避免readfile()或file_get_contents()，以防内存溢出。
PHP 实现强制下载的核心是正确设置 HTTP 响应头，让浏览器放弃内建处理（如 PDF 预览、图片显示），转而触发「另存为」逻辑。关键不在文件生成方式，而在 header() 的组合与顺序。
必须设置的四个响应头
缺一不可，且顺序无关紧要，但必须在任何输出（包括空格、BOM）之前调用：
-
Content-Type: application/octet-stream—— 通用二进制类型，避免浏览器根据扩展名猜测行为 -
Content-Disposition: attachment; filename="xxx.pdf"——attachment是强制下载的关键；filename建议用rawurlencode()处理中文名（如rawurlencode('报告_2024.pdf')） -
Content-Length: 12345—— 提前计算文件大小（用filesize()或strlen($content)），有助于浏览器显示进度条 -
Content-Transfer-Encoding: binary—— 明确编码方式，防止某些旧客户端误解析
读取并输出文件内容的三种安全方式
不要用 readfile() 简单粗暴地输出大文件（内存溢出风险），也不要用 file_get_contents() 加载整个文件到内存：
- 小文件（readfile($filepath)，简单直接
- 中大文件：用
fopen()+fread()分块输出，例如每次读 8192 字节，配合ob_flush()和flush()（需确认服务器未启用 output buffering） - 内容来自变量（非磁盘文件）：直接
echo $content，但务必提前用mb_strlen($content, '8bit')计算Content-Length
常见错误导致「仍被打开而非下载」
以下任一情况都会让浏览器忽略 Content-Disposition: attachment：
立即学习“PHP免费学习笔记（深入）”；
- PHP 脚本开头或结尾存在空格/BOM（检查文件编码是否为 UTF-8 无 BOM）
- 已输出过任何内容（如
echo ''、var_dump()、甚至换行符），可用headers_sent($file, $line)检查 - Web 服务器（如 Nginx）配置了
add_header Content-Disposition ...覆盖了 PHP 设置 - Chrome 对某些 MIME 类型（如
text/plain）有白名单策略，即使设了attachment也可能自动打开 —— 此时必须用application/octet-stream或更具体的类型（如application/pdf）
完整最小可运行示例
假设要下载当前目录下的 data.zip：
<?php
$filepath = 'data.zip';
if (!is_file($filepath)) {
http_response_code(404);
exit('File not found');
}
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="' . basename($filepath) . '"');
header('Content-Length: ' . filesize($filepath));
header('Content-Transfer-Encoding: binary');
readfile($filepath);
exit;
?>
注意：这个示例没做中文文件名、大文件分块或错误日志，实际项目中需按需补全。最容易被忽略的是——哪怕只多一个空行，header() 就会失效，且 PHP 默认不报错，只能靠 headers_sent() 主动排查。
