浏览器原生支持直接预览的文件类型包括：文本类（.txt、.log、.csv）、代码类（.php、.js、.html）、部分标记类（.md、.xml）、PDF（application/pdf）及常见图片（.png、.jpg等），前提是服务器正确配置MIME类型且不强制下载，同时需注意路径可访问性、跨域限制及安全防护措施。
哪些文件类型能直接用浏览器打开
不是所有文件都能“预览”，浏览器只原生支持少数格式：文本类（.txt、.log、.csv）、代码类（.php、.js、.html）、部分标记类（.md、.xml）——前提是服务器不强制下载，且 MIME 类型正确。PDF 和图片（.png、.jpg）也能直接渲染，但需注意路径可访问性与跨域限制。
常见错误现象：ERR_BLOCKED_BY_CLIENT（广告拦截器干的）、404（路径没配对）、403（Web 服务器禁止目录浏览或 .htaccess 拦截了扩展名）。
- 确保文件放在 Web 根目录下（如
/var/www/html/uploads/），而非/home/user/files/这类不可达路径 - 检查 Apache 的
mod_mime或 Nginx 的types配置是否识别.md等扩展名；否则浏览器可能触发下载 - 避免在 URL 中暴露绝对路径，用相对路径 +
basename()过滤防止路径遍历（如拒绝../../etc/passwd）
PHP 如何安全地输出文本类文件内容
直接 readfile() 最快，但必须控制读取范围、过滤非法路径、设置正确头信息，否则就是任意文件读取漏洞。
示例逻辑：
立即学习“PHP免费学习笔记（深入）”；
if (isset($_GET['f'])) {
$filename = basename($_GET['f']); // 强制剥离路径
$filepath = __DIR__ . '/uploads/' . $filename;
if (file_exists($filepath) && is_readable($filepath)) {
$mime = mime_content_type($filepath);
header('Content-Type: ' . $mime);
header('X-Content-Type-Options: nosniff');
readfile($filepath);
exit;
}
}
-
basename()是底线，不能只用str_replace()或正则“删掉 ..”——绕过方式太多 -
mime_content_type()比基于扩展名判断更可靠，但需启用 fileinfo 扩展；若不可用，可用白名单映射（如['.txt'=>'text/plain', '.log'=>'text/plain']） - 务必加
X-Content-Type-Options: nosniff，防 MIME sniffing 导致 HTML 被误执行
PDF 和图片怎么“预览”而不是下载
PDF 和图片本质是二进制资源，只要 URL 可直接访问，用 <iframe> 或 <img> 就能预览，PHP 层只需确保链接生成正确、权限放开。
比如用户上传了 report.pdf，PHP 不需要读取再输出，直接生成链接即可：
<a href="uploads/report.pdf" target="_blank">查看 PDF</a> <iframe src="uploads/report.pdf" width="100%" height="600"></iframe>
- Nginx/Apache 必须允许
.pdf的Content-Type: application/pdf，否则 Chrome 会强制下载 - Chrome 对本地文件（
file://）协议禁用 iframe 加载 PDF，所以开发时得走http://localhost，不能双击 HTML 文件打开 - 图片同理，但注意大图可能触发内存警告；PHP 不适合做缩略图，用
<img src="..." width="800">让浏览器缩放更轻量
为什么别用 PHP 输出 HTML 包裹 Markdown
有人想让 .md 文件“渲染成网页”，于是用 PHP 读取 + parsedown 库转 HTML 再输出。这看似预览，实则引入新风险和性能问题。
- Markdown 渲染器若未禁用 HTML 输入（如
Parsedown::setSafeMode(true)），用户上传含<script>的 .md 就等于 XSS - 每次请求都解析，比静态文件慢一个数量级；缓存又难做（不同用户权限不同，不能简单 file_put_contents）
- 更好的做法：上传时就渲染成 HTML 存为
xxx.md.html，预览时直接readfile()输出该 HTML 文件
真正要小心的从来不是“怎么显示”，而是“谁能把什么文件传上来”和“它被当什么类型处理”。文件预览功能越简单，越不容易出事。
