Laravel中需通过私有磁盘+签名路由+路径拦截三重机制保护敏感文件：配置private磁盘隔离存储、用URL::temporarySignedRoute生成时效性下载链接、并在中间件及Web服务器层拦截直链访问。
在 Laravel 中，将用户上传的合同、身份证扫描件、财务报表等敏感文件存进 storage/app/ 后，必须禁止任何人通过拼接 URL 直接访问，同时又要支持授权用户点击链接下载——这不是靠改权限或放行目录能解决的，而是要切断物理路径暴露、收口访问入口、绑定身份与时效。
创建私有磁盘并隔离敏感文件
第一步：编辑 config/filesystems.php，在 'disks' 数组末尾新增一个名为 private 的磁盘配置：
'private' => [ 'driver' => 'local', 'root' => storage_path('app/private'), 'visibility' => 'private' ]
第二步：运行命令创建物理目录并验证权限：mkdir -p storage/app/private && chmod 700 storage/app/private。这一步必须执行，否则后续写入会失败且无明确报错。
第三步：在控制器中使用该磁盘保存文件，例如：Storage::disk('private')->put('invoices/2026-08/invoice_123.pdf', $fileContent)。文件将真实存于 storage/app/private/invoices/2026-08/invoice_123.pdf，Web 服务器默认拒绝访问此路径，【任何直接请求 /storage/app/private/xxx 的行为都会返回 403】。
生成带签名的临时下载链接
方法一：用 URL::temporarySignedRoute() 控制访问入口（推荐）
1. 定义路由，绑定 signed 中间件：Route::get('/secure-download/{filename}', [DownloadController::class, 'serve'])->name('secure.download')->middleware('signed');
2. 在控制器中校验业务权限，再返回文件流：if (!Auth::user()->canAccessInvoice($filename)) { abort(403); } return response()->file(storage_path("app/private/{$filename}"));
3. 前端生成链接时传入完整文件路径（不含 disk 根目录）：{{ URL::temporarySignedRoute('secure.download', now()->addMinutes(30), ['filename' => 'invoices/2026-08/invoice_123.pdf']) }}。这个 URL 自动包含 signature 和 expires 参数，Laravel 会在进入路由前完成校验。
方法二：用 Storage::temporaryUrl()（仅限 S3 或已配置 temporary_url 的本地磁盘）
若你使用 S3，直接调用 Storage::disk('s3')->temporaryUrl('private/invoices/2026-08/invoice_123.pdf', now()->addMinutes(30)) 即可。但注意：【本地磁盘默认不支持 temporaryUrl()，强行调用会抛出异常】；如需本地支持，必须在磁盘配置中显式添加 'temporary_url' => true 并设置 'url' => env('APP_URL')。
拦截非法直链访问
在 app/Http/Middleware/TrustProxies.php 或全局中间件中，添加对常见敏感路径的强制拦截逻辑：
if (Str::startsWith(request()->path(), ['storage/app/private/', 'storage/app/.env', 'storage/app/database.sqlite'])) { abort(404); }
这行代码放在 handle() 方法开头即可生效。它不依赖路由定义，能在请求到达控制器前就截断所有试图绕过签名机制的原始路径访问。
最后，在 public/.htaccess（Apache）或 Nginx 配置中追加规则，禁止解析 storage/app/private 下任意文件：
RedirectMatch 404 ^/storage/app/private/.*$
