用ZipArchive动态打包并输出ZIP流是实现单次点击下载多个文件的可靠方式，需避免内存溢出、路径遍历和权限漏洞，配合token签名与过期校验保障分享安全。
用 readfile() 实现单文件直链分享，但注意它不支持批量
PHP 本身没有“批量分享”原生功能，所谓批量，其实是前端触发多个独立下载请求，或后端打包成 ZIP 后提供一个下载入口。直接循环调用 readfile() 会阻塞响应、无法并发、且浏览器只认最后一个 Content-Disposition，前面的全失效。
常见错误现象：Warning: readfile(): Filename cannot be empty 或只下到第一个文件，其余静默失败。
- 必须对每个文件单独构造完整 HTTP 响应（状态码、头、内容），不能在一个响应里塞多个文件
- 若想“一次点击下载多个”，唯一可靠方式是服务端先压缩（如用
ZipArchive），再输出 ZIP 流 -
readfile()不校验 MIME 类型，建议配合mime_content_type()或finfo_open()设置Content-Type
用 ZipArchive 动态打包多个文件并强制下载
这是最贴近“批量分享”的实用做法：用户点一次，后端生成 ZIP 并返回。关键在避免写临时文件、减少磁盘 IO。
示例逻辑：
立即学习“PHP免费学习笔记（深入）”；
$zip = new ZipArchive();
if ($zip->open('php://memory', ZipArchive::CREATE) !== TRUE) {
die('ZIP 创建失败');
}
foreach ($fileList as $filePath) {
if (is_file($filePath) && is_readable($filePath)) {
$zip->addFile($filePath, basename($filePath)); // 第二个参数是 ZIP 内路径
}
}
$zip->close();
// 输出 ZIP 流
header('Content-Type: application/zip');
header('Content-Disposition: attachment; filename="share_' . date('Ymd_His') . '.zip"');
header('Content-Length: ' . filesize('php://memory'));
readfile('php://memory'); // 注意：php://memory 不支持 filesize()，此处仅示意；实际需用 output buffering 或临时流
⚠️ 容易踩的坑：php://memory 不能直接用 filesize() 获取长度；更稳妥的做法是用 ob_start() + ob_get_clean() 捕获 ZIP 二进制数据，再输出。
分享链接怎么带权限和过期控制？
真要“分享”，不能裸露真实文件路径。得用一次性 token 或时间戳签名验证。
- 生成分享 URL 示例：
/share.php?token=abc123&expires=1717027200 -
share.php开头校验：if ($_GET['expires'] < time() || !hash_equals($expectedToken, $_GET['token'])) die('无效链接'); - token 建议用
sodium_crypto_generichash()或hash_hmac()签名，别用 md5/rand - 不要把文件名直接拼进 URL 参数（防路径遍历），改用 ID 映射表或白名单校验
大文件或大量小文件时要注意内存和超时
ZipArchive 在内存中构建 ZIP 时，所有文件内容都会被读入 PHP 进程内存。100 个 1MB 文件 ≈ 100MB 内存占用，容易触发 Fatal error: Allowed memory size exhausted。
- 用
set_time_limit(0)和ini_set('memory_limit', '512M')临时放宽限制（仅限 CLI 或可信后台） - 更健壮方案：改用
exec('zip -j /tmp/share.zip ' . escapeshellarg($fileListString))调用系统 zip 命令（需服务器支持） - 前端可加 loading 提示，并禁用按钮防止重复提交
- 若文件总数超 500 个，建议改成分卷 ZIP 或提示“请分批下载”
真正难的不是打包动作本身，而是权限收敛、路径隔离、异常中断后的临时文件清理——这些没做，分享功能上线就等于开后门。
