PHP 8.0 下载文件核心是正确设置响应头并安全输出内容，推荐优先使用 ThinkPHP 8.0 的 response()->download()，其次为原生 header+readfile（小文件）或 fopen 分块读取（大文件），严禁路径遍历、暴露真实路径及直接跳转下载。
PHP 8.0 把文件下载到本地，核心是让浏览器把响应内容当作“要保存的文件”而非“要显示的页面”。关键不在 PHP 版本本身，而在于正确设置 HTTP 响应头 + 安全输出文件内容。下面几种方式按推荐度和适用场景分列，直接可用。
用 response()->download()（ThinkPHP 8.0 项目首选）
如果你用的是 ThinkPHP 8.0 框架，别自己拼 header 和 readfile —— 它内置的 response()->download() 已处理好流式输出、中文文件名编码（RFC 5987）、缓冲清理和基础安全校验。
- 必须传入绝对路径，且该路径不能在 Web 可访问目录下（例如不要放在
public/或www/下），推荐用runtime_path()或storage_path() - 中文文件名直接传参即可，框架自动编码：
response()->download($path, '订单_202609.xlsx') - 下载前务必自行完成三件事：检查用户权限、用
basename($filename)防止路径遍历、后缀白名单过滤（如只允许['pdf', 'xlsx', 'zip']）
原生 PHP：header + readfile（适合小文件、静态资源）
适用于服务器本地已有文件、体积不大（建议 ≤50MB）、无需复杂权限控制的场景。代码简洁但需手动把关安全。
- 先验证文件存在且可读：
if (!file_exists($path) || !is_readable($path)) { http_response_code(404); die('文件不可访问'); } - 设置标准响应头：
header('Content-Type: application/octet-stream');header('Content-Disposition: attachment; filename="' . basename($path) . '"');header('Content-Length: ' . filesize($path)); - 用
readfile($path)输出，不占内存；大文件慎用，可能触发超时或内存溢出
原生 PHP：fopen + 分块 fread（适合大文件、需控制内存）
当文件较大（如 >100MB）或你希望更精细控制输出节奏时，避免一次性加载全部内容进内存。
立即学习“PHP免费学习笔记（深入）”；
- 用
fopen($path, 'rb')打开二进制只读流 - 循环读取（例如每次 8192 字节），配合
echo、flush()、ob_flush()实时推送 - 开头加
while (ob_get_level()) ob_end_clean();清空所有输出缓冲，防止 BOM 或空格干扰 - 结尾调用
fclose()并exit，避免后续脚本输出污染响应
注意：这些做法要避开
以下方式看似简单，实际隐患明显，不建议在生产环境使用：
- 直接用
<a href="/uploads/file.pdf">下载</a>—— 文件路径暴露，且绕过权限校验和日志记录 - 用
header('Location: ...')跳转到真实文件 URL —— 同样失去控制权，还可能被 CDN 缓存或跨域拦截 - 自己写 header + readfile 却没做
basename()或路径规范化 —— 容易被构造../../etc/passwd类攻击 - 对远程文件（如 OSS、七牛）直接
readfile('https://...')—— PHP 默认禁用远程 URL fopen，且无错误兜底，极不稳定
