应使用 AddType 指定精确 MIME 类型（如 font/woff2 .woff2）并禁用 MultiViews，优先以 application/octet-stream 强制二进制下载；避免 text/plain 等可渲染类型，清除浏览器缓存后用 curl -I 验证响应头。
Apache 的 AddType 和 AddEncoding 怎么用才不被浏览器强行打开？
浏览器看到 .pdf、.zip、.woff2 就自动打开或预览，不是你想要的下载行为？核心问题不在“支持格式”，而在 Apache 没把它们声明为可下载的二进制内容类型。关键不是加类型，而是加对类型 + 关闭内容协商干扰。
实操建议：
-
AddType application/octet-stream .bin .dat .dmg—— 强制所有匹配后缀以二进制流下载（最保险） - 别用
AddType text/plain .log这类——它会让浏览器尝试渲染，反而触发内建查看器；改用application/octet-stream或更精确的text/plain; charset=utf-8 - 如果用了
mod_mime的TypesConfig文件，优先在虚拟主机或目录级配置里覆盖，避免全局污染 - 注意：加了
AddType后，若仍被打开，大概率是浏览器缓存了旧的 Content-Type 响应头，用curl -I https://yoursite/file.zip验证实际返回值
为什么 .woff2 或 .avif 下载时变成乱码或失败？
这些较新的文件格式默认不在 Apache 的 mime.types 里，但问题不止于“没定义”。即使加了 AddType，若服务器启用了 mod_negotiation（比如开了 Options MultiViews），Apache 可能根据 Accept 头“协商”出一个错的类型，比如把 .woff2 当成 font/woff 返回，导致下载中断或校验失败。
实操建议：
- 显式添加：
AddType font/woff2 .woff2、AddType image/avif .avif - 检查并关闭干扰项：
Options -MultiViews（放在同一作用域下） - 验证响应头是否干净：
curl -I -H "Accept: */*" https://yoursite/test.woff2—— 确保返回的是Content-Type: font/woff2，而不是text/html或空值 - 若用的是旧版 Apache（font/woff2 不被识别为合法 MIME 类型，需升级或降级为
application/font-woff2（兼容性略差）
ForceType 和 AddType 哪个更适合强制下载？
ForceType 是暴力覆盖，AddType 是条件注册。多数场景该用 AddType；只有当文件无后缀、或后缀被其他模块劫持（如 PHP 处理器抢注了 .txt）时，才轮到 ForceType 出场。
实操建议：
- 对有固定后缀的文件（如
.exe、.pkg），用AddType application/octet-stream .exe更安全、可维护 - 对无后缀资源（比如 CDN 上的裸二进制 blob），用
<location></location>+ForceType application/octet-stream -
ForceType会完全忽略文件扩展名和内容探测，哪怕你把它用在.html上，也会强制当二进制发出去——容易误伤，慎用 - 两者都不影响
Content-Disposition: attachment，如需默认触发保存对话框，还得额外加Header set Content-Disposition "attachment"（需启用mod_headers）
配置生效后下载仍被拦截或 403？检查这几个点
不是所有下载失败都怪 MIME 类型。Apache 默认可能限制某些后缀的访问权限，尤其当文件放在非 DocumentRoot 子目录、或路径含点号时。
常见错误现象与排查项：
- 返回 403 Forbidden，且日志里有
client denied by server configuration→ 检查<filesmatch></filesmatch>或Require规则是否误拦了\.zip$类后缀 - 请求返回 404，但文件明明存在 →
mod_alias的RedirectMatch或重写规则把路径吃掉了，临时注释掉重写段再试 - 下载的文件大小为 0 字节 → 查看
ErrorLog是否报Permission denied，确认 Apache 进程用户（如www-data）对文件有读权限，且 SELinux/AppArmor 没拦截（Linux 发行版常见） - HTTPS 站点下载提示“不安全”，但文件本身没问题 → 浏览器因混合内容（HTTP 资源）阻断了响应头注入，确保所有
Header set指令只在 HTTPS 虚拟主机里启用
最常被忽略的是：修改 mime.types 文件本身不会实时生效，必须重启或重载 Apache；而 .htaccess 里的 AddType 需要 AllowOverride Options 才能起作用——这个开关关着，写一百行也没用。
