PHP可通过中间代理方式隐藏下载真实路径：将文件存于Web根目录外，用PHP脚本读取并输出，配合正确HTTP头、URL重写及严格权限校验，确保安全可控。
PHP 本身不能直接“隐藏下载时的真实路径”，因为下载行为最终由 Web 服务器（如 Apache、Nginx）处理，浏览器看到的 URL 路径取决于你如何提供下载链接。但你可以通过 PHP 脚本作为**中间代理**，让所有下载请求都经过 PHP 处理，从而不暴露真实文件位置（比如不在 webroot 下、不显示物理路径或原始 URL）。关键不是“加什么 PHP 标签”，而是用 PHP 控制响应过程。
用 PHP 输出文件内容（推荐方式）
把真实文件放在 Web 根目录之外（例如 /var/www/private/files/report.pdf），然后用一个 PHP 脚本读取并输出它：
- 用户访问的是类似
/download.php?id=123或/dl/abc123这样的伪路径 - PHP 根据参数查数据库或规则，定位到真实文件路径（绝对路径）
- 用
readfile()+ 正确的 HTTP 头（Content-Type、Content-Disposition）输出文件流 - 服务器不会暴露真实路径，浏览器地址栏只显示 PHP 脚本 URL
设置正确的响应头防止缓存和识别错误
避免浏览器误解析或缓存旧版本，建议在输出前添加：
-
header('Content-Type: application/octet-stream');（通用二进制类型） -
header('Content-Disposition: attachment; filename="report.pdf"');（强制下载 + 自定义文件名） -
header('Content-Length: ' . filesize($real_path));（提升稳定性） -
header('Cache-Control: no-cache');和header('Pragma: no-cache');（防代理/浏览器缓存）
配合 URL 重写隐藏 PHP 扩展（可选优化）
如果你用 Nginx 或 Apache，可以配置重写规则，让 /dl/abc123 实际映射到 /download.php?token=abc123，这样 URL 更干净、更安全：
立即学习“PHP免费学习笔记（深入）”；
- Apache：用
.htaccess+RewriteRule ^dl/([a-z0-9]+)$ download.php?token=$1 [L] - Nginx：在 server 块中加
rewrite ^/dl/([a-z0-9]+)$ /download.php?token=$1 last; - PHP 脚本根据
$_GET['token']查找对应文件，不依赖 URL 中的路径结构
务必注意权限与安全校验
仅靠隐藏路径不够，必须防止越权下载：
- 不要直接拼接用户输入（如
$_GET['file']）去读文件，否则可能被遍历目录（../../../etc/passwd） - 使用白名单、哈希映射、数据库关联等方式将 ID/Token 映射到合法路径
- 检查用户登录状态、权限、下载次数、有效期等业务逻辑
- 真实文件目录禁止 Web 直接访问（Nginx 中设
location ~ \.pdf$ { deny all; }或放于 webroot 外）
