ThinkPHP不支持直接下载远程文件，必须先将远程文件拉取到本地临时目录再调用response()->download()；推荐使用云存储SDK流式下载、校验权限、净化文件名并定时清理临时文件。
ThinkPHP 本身不支持直接通过 response()->download() 下载远程文件（比如 OSS、七牛、HTTP 链接），因为它只接受服务器本地的**真实绝对路径**。所谓“远程下载”，实际分两步：先将远程文件拉取到本地临时目录，再用框架标准方式触发下载。
必须先保存到本地，再下载
不能把 https://xxx.com/report.pdf 直接传给 response()->download()，会报错或返回空响应。正确流程是：
- 用
file_get_contents()、cURL 或云存储 SDK（如阿里云 OSS SDK）把远程文件内容读取下来 - 写入服务器可写的临时目录，例如
runtime/download/或public/downloads/（注意权限和清理） - 确认写入成功、文件可读，再调用
response()->download($localPath, $originalName)
推荐做法：用 SDK 下载 + 安全校验
尤其对接对象存储时，避免中间落地大文件，可边拉边写、限制大小、加超时：
- 使用官方 SDK（如
aliyuncs/oss-sdk-php）调用$ossClient->getObject()流式写入本地文件 - 下载前检查用户是否有权访问该远程资源（例如查数据库中该记录是否归属当前用户）
- 对原始文件名做净化：
basename($userInputName)剥离路径，再白名单校验后缀（in_array(pathinfo($name, PATHINFO_EXTENSION), ['pdf', 'xlsx'])） - 临时文件建议带随机前缀+时间戳，下载完成后异步或定时清理（防止磁盘占满）
兼容中文名与大文件的注意事项
即使远程文件名是中文，最终传给 download() 的显示名也要合规：
立即学习“PHP免费学习笔记（深入）”；
- ThinkPHP 8.0+ 会自动按 RFC5987 编码中文名，直接传
'订单-2026.xlsx'即可，无需手动rawurlencode - 若用的是 TP6 或自定义逻辑，需手动构造
filename*=UTF-8''%E8%AE%A2%E5%8D%95.xlsx格式 - 远程文件较大（如 >50MB）时，下载前务必执行
ob_end_clean()清空输出缓冲，否则内存溢出或卡死
不建议的手动 header + readfile 方式
绕过 response()->download() 自己拼头、读流，容易出问题：
- 中间件或日志可能提前输出空格/BOM，导致 header 发送失败
- 中文名在 Chrome/Firefox/Safari 表现不一致，手动编码难兼顾
- 大文件
readfile()会一次性加载进内存，TP 默认缓冲机制加剧风险
