PHP 8.4 中下载文件并设置 Referer 必须使用 cURL，通过 curl_setopt($ch, CURLOPT_REFERER, $url) 显式指定；file_get_contents() 因不支持 chunked/gzip、容错差且常被禁用，不推荐用于生产环境下载。
PHP 8.4 中用 cURL 下载文件时设置 Referer
PHP 8.4 本身不提供“下载文件 + 自动带 Referer”的内置函数，必须通过 HTTP 客户端手动构造请求。cURL 是最可靠的选择，curl_setopt() 支持直接注入 CURLOPT_REFERER，且兼容 PHP 8.4 的所有安全限制（如 disable_functions 未禁用 curl_exec）。
常见错误现象：调用 file_get_contents() 时加了 stream_context_create() 却漏写 Content-Length，导致目标服务器返回 400 或静默失败；或误以为 header('Referer: ...') 能影响出站请求——它只作用于响应头，对请求无效。
- 必须启用
CURLOPT_RETURNTRANSFER => true，否则curl_exec()直接输出二进制内容到浏览器，无法保存为文件 -
CURLOPT_FOLLOWLOCATION建议设为false，避免跳转后 Referer 被浏览器策略清空（尤其是 HTTPS → HTTP） - 若目标 URL 返回重定向（302），而你又需要跟随，则需在每次跳转后重新设置 Referer —— cURL 默认不会保留，得用
CURLOPT_HEADERFUNCTION拦截并手动续传 - 下载大文件时，避免用
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false)绕过证书验证，PHP 8.4 默认启用 OpenSSL 1.1.1+，应改用CURLOPT_CAINFO指向系统 CA 包路径
$url = 'https://example.com/report.pdf';
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_REFERER, 'https://trusted-site.com/dashboard');
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, false);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_CAINFO, '/etc/ssl/certs/ca-certificates.crt');
$content = curl_exec($ch);
$http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);
if ($http_code === 200 && $content !== false) {
file_put_contents('/tmp/downloaded.pdf', $content);
}
用 file_get_contents() 模拟 Referer 下载的硬伤
虽然 file_get_contents() + stream_context_create() 看似轻量，但在 PHP 8.4 下用于下载文件时极易踩坑：它不支持分块传输解码（Transfer-Encoding: chunked）、无法自动处理 gzip 压缩、且 Referer 必须严格按 RFC 拼接，稍有不慎就触发服务端校验失败。
关键限制：PHP 8.4 默认关闭 allow_url_fopen（尤其宝塔环境），即使开启，file_get_contents() 对二进制流的容错性远低于 cURL，遇到 Content-Length 不匹配或 header/body 分隔错误会直接返回 false，无详细错误提示。
立即学习“PHP免费学习笔记（深入）”；
- 必须用
http_build_query()处理 POST 数据，但下载文件通常是 GET，此处无需 - Header 字符串中换行符必须是
\r\n，结尾需空行，否则部分 Nginx 配置会拒绝请求 - 无法获取真实 HTTP 状态码，只能靠
$http_response_header解析，易受服务端 header 顺序干扰 - 若目标文件大于内存限制（
memory_limit），会直接 OOM，而 cURL 可配合CURLOPT_WRITEFUNCTION流式写入磁盘
Referer 校验失败时怎么快速定位
很多 PHP 8.4 站点在下载前会校验 $_SERVER['HTTP_REFERER']，但这个值极不可靠：空值常见于书签访问、HTTPS→HTTP 跳转、Referrer-Policy: no-referrer、浏览器隐私模式。不要把它当唯一凭据。
调试时别依赖浏览器直接访问下载链接 —— 浏览器发起的请求 Referer 是上一页地址，和你代码里设的无关。必须用命令行或脚本模拟：
- 用
curl -H "Referer: https://example.com/page" -o file.pdf https://target.com/file.pdf验证服务端是否放行 - 在 PHP 下载脚本开头加
error_log('Referer: ' . ($_SERVER['HTTP_REFERER'] ?? 'EMPTY'), 3, '/tmp/referer.log');查看实际收到的值 - 检查 Web 服务器层是否已剥离 Referer：Nginx 里是否有
proxy_set_header Referer "";；Apache 是否启用了Referrer-Policy指令 - 若用宝塔面板，确认 PHP-FPM 池配置中未设置
php_admin_value[auto_prepend_file]，某些安全插件会主动过滤 $_SERVER 变量
绕过 Referer 限制的替代方案（慎用）
有些接口强制校验 Referer 且不允许空值，临时调试可绕过，但生产环境绝不能留这种逻辑。PHP 8.4 的 disable_functions 通常已禁用 exec 等函数，所以别想着调用系统 curl 命令。
真正可行的替代是：改用服务端 Token 认证，或把 Referer 校验降级为辅助手段（比如只校验域名，不校验完整路径）。如果必须伪造，注意 Referer 值要符合目标站点的协议、端口、路径结构，例如目标是 https://api.example.com/v2/download，伪造成 https://example.com 可能被拒绝，而 https://example.com/app/ 更可能通过。
最常被忽略的一点：PHP 8.4 的 opcache 会缓存包含 $_SERVER['HTTP_REFERER'] 判断的脚本，修改校验逻辑后必须执行 opcache_reset() 或重启 PHP-FPM，否则旧规则仍在生效。
