Symfony 7.3 中通过 ZipArchive 内存流打包本地文件并响应下载：校验路径防遍历，addFile 动态构建 ZIP，StreamedResponse 输出，设置正确 Header，捕获异常并记录日志。
在 Symfony 7.3 中实现服务器本地文件的批量打包 ZIP 并响应下载，核心在于：安全读取指定路径文件、用 PHP 原生 ZipArchive 构建压缩包、通过 BinaryFileResponse 或流式响应触发浏览器下载。无需额外扩展，PHP 8.1+（Symfony 7.3 要求）已内置完整支持。
准备待打包的文件路径列表
不能直接传文件名给前端或拼接用户输入构造路径，必须严格校验来源与合法性：
- 从数据库查出附件记录（如
Attachment实体），确保file_path字段为绝对路径且位于白名单目录内（例如/var/www/project/public/uploads/） - 用
realpath()+str_starts_with()校验路径是否落在可信根目录下，防止路径遍历（../../etc/passwd类攻击） - 跳过不存在、不可读或非普通文件（如符号链接、目录）
用 ZipArchive 动态构建 ZIP 包
不建议先写入磁盘再返回——既占临时空间又增 IO 开销。推荐内存流方式：
- 创建
ZipArchive实例，调用open('php://memory', ZipArchive::CREATE) - 遍历校验后的文件路径，用
addFile($realPath, $archiveName)加入压缩包；$archiveName可自定义（如去除绝对路径前缀，避免解压后出现/var/www/...多层目录） - 调用
close()完成写入，此时 ZIP 数据已在内存中 - 用
fopen('php://memory', 'r')重新打开流，读取全部内容生成StreamedResponse
构造响应并设置正确头信息
让浏览器识别为可下载 ZIP 文件，关键头不能少：
Content-Type: application/zip-
Content-Disposition: attachment; filename="batch-download-20261012.zip"（注意 filename 不含路径，推荐带时间戳防重名） Content-Transfer-Encoding: binary-
Cache-Control: private, must-revalidate, max-age=0（禁用缓存，避免旧包被复用）
使用 Symfony\Component\HttpFoundation\StreamedResponse，在回调中输出 ZIP 流，确保大文件也不会内存溢出。
补充健壮性处理
实际部署时这些细节决定稳定性：
- 所有
fopen/file_get_contents操作需包裹try/catch，捕获RuntimeException或ZipArchive::ER_*错误码，并统一返回 500 + 友好提示（如“部分文件读取失败，请检查权限”） - 对空文件列表做前置判断，直接返回 400，避免生成空 ZIP
- 记录日志：打包文件数、总大小、耗时，便于后续排查性能瓶颈
- 若文件总数超 500 个，考虑加限流或异步导出（返回任务 ID 后轮询），防止请求超时
