本文介绍通过 .htaccess 禁止目录直访、配合 php 下载代理脚本（downloader.php）实现权限控制的完整方案，确保仅登录用户可通过页面链接下载受保护文件，杜绝未授权访问。
本文介绍通过 .htaccess 禁止目录直访、配合 php 下载代理脚本（downloader.php）实现权限控制的完整方案，确保仅登录用户可通过页面链接下载受保护文件，杜绝未授权访问。
要实现“文件仅能通过 index.php 下载、禁止浏览器直接访问（如 <a href="https://www.php.cn/link/e5705b41110c61a78337a0536bccce98" rel="nofollow" target="_blank">https://www.php.cn/link/e5705b41110c61a78337a0536bccce98</a>）”，核心思路是：将真实文件置于 Web 服务器不可直接解析的路径之外，或通过服务器规则阻断直访，并统一由受控 PHP 脚本处理下载请求。以下是经过验证的生产级实现步骤：
✅ 第一步：阻止 files 目录的直接访问（Apache）
在 files/ 目录下新建 .htaccess 文件，内容如下（适用于 Apache）：
# files/.htaccess Order Deny,Allow Deny from all
⚠️ 注意：若使用 Apache 2.4+，推荐改用更现代的写法：
Require all denied同时确保服务器已启用
mod_authz_core模块且AllowOverride All在对应虚拟主机中生效。
该配置使所有对 files/ 下资源的直接 HTTP 请求（如 GET /files/file1.pdf）均返回 403 Forbidden，但 PHP 脚本仍可正常读取本地文件系统路径（如 'files/file1.pdf'），不受影响。
✅ 第二步：创建安全下载代理脚本 downloader.php
新建 downloader.php（建议与 index.php 同级），内容如下：
<?php
// downloader.php —— 登录态校验 + 安全文件输出
session_start();
// 【关键】强制登录检查（根据你的 session.php 实际逻辑调整）
if (!isset($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true) {
http_response_code(403);
die('Access denied: Please log in first.');
}
if (!isset($_GET['file']) || !is_string($_GET['file'])) {
http_response_code(400);
die('Bad request: Missing or invalid file parameter.');
}
$filename = basename($_GET['file']); // 防止路径遍历攻击（如 ../etc/passwd）
$filepath = './files/' . $filename;
if (!file_exists($filepath) || !is_file($filepath)) {
http_response_code(404);
die('File not found: ' . htmlspecialchars($filename));
}
// 设置安全响应头（避免浏览器渲染，强制下载）
header('Content-Type: application/octet-stream');
header('Content-Transfer-Encoding: binary');
header('Content-Length: ' . filesize($filepath));
header('Content-Disposition: attachment; filename="' . htmlspecialchars($filename) . '"');
header('Cache-Control: private, must-revalidate, max-age=0');
header('Expires: Sat, 26 Jul 1997 05:00:00 GMT');
header('Last-Modified: ' . gmdate('D, d M Y H:i:s', filemtime($filepath)) . ' GMT');
// 输出文件流（readfile() 自动处理缓冲，适合中小文件；大文件建议分块读取）
readfile($filepath);
exit;? 安全增强点说明：
basename()防止?file=../config.php类路径遍历；htmlspecialchars()防止响应头注入；- 显式
session_start()+ 登录态校验，确保仅授权用户可达；- 完整的 HTTP 状态码与缓存控制，提升兼容性与安全性。
✅ 第三步：更新 index.php 中的下载链接
修改原 index.php 的循环部分，将 <a href="%24file"></a> 改为指向 downloader.php 的受控 URL：
<?php
include('session.php'); // 确保 session 已启动
$path = './files';
$files = scandir($path);
// 过滤掉隐藏文件、PHP 文件、meta 文件等
$files = preg_grep("/^(\.|\.\.|index\.php|\.htaccess)$|.php$|\.meta\.js$/", $files, PREG_GREP_INVERT);
foreach ($files as $file) {
// 仅显示合法文件名（跳过目录）
if (is_file($path . '/' . $file)) {
echo '<div>';
echo '<a href="downloader.php?file=' . urlencode($file) . '">' . htmlspecialchars($file) . '</a>';
echo '</div>';
}
}
?>? 提示：使用
urlencode()编码文件名，支持中文/空格等特殊字符；htmlspecialchars()防止 XSS。
✅ 可选优化：Nginx 用户配置方式
若使用 Nginx，请在 server 块中添加：
location ^~ /files/ {
deny all;
}并确保 downloader.php 位于可执行 PHP 的 location 内（通常默认支持）。
? 总结
- ✅ 根本原则：静态文件不暴露于 Web 根路径可访问范围，所有下载必须经由 PHP 中间层；
- ✅ 双重防护：
.htaccess/Nginx 规则 + PHP 登录校验，缺一不可； - ✅ 防御意识：始终校验输入（
basename,urlencode,is_file）、设置正确响应头、返回标准 HTTP 状态码； - ❌ 切勿省略登录检查，否则
downloader.php将成为新的公开入口。
按此方案部署后，用户只能通过登录后的网页点击触发下载，任何尝试直访 files/ 下资源的行为都将被服务器拒绝，真正实现权限可控、安全可靠的文件分发机制。
