本文介绍在php中安全列出d盘指定目录下的所有文件（排除文件夹），并实现点击下载功能，避免直接暴露本地路径风险，强调数据库映射与权限控制的最佳实践。
本文介绍在php中安全列出d盘指定目录下的所有文件（排除文件夹），并实现点击下载功能，避免直接暴露本地路径风险，强调数据库映射与权限控制的最佳实践。
在Web应用中，直接通过 scandir() 访问本地物理驱动器（如 D:myfiles）并生成可点击下载链接存在严重安全隐患：不仅可能暴露服务器敏感路径结构，还易引发目录遍历（Directory Traversal）、任意文件读取等高危漏洞。因此，绝不可将 D:/ 路径直接写入 href="$file" 或通过 readfile() 未经校验地输出文件内容。
✅ 正确做法是采用「抽象ID映射 + 服务端受控分发」模式：
-
建立安全文件索引表（推荐使用MySQL）
创建files表存储元信息，而非暴露真实路径：CREATE TABLE files ( id INT PRIMARY KEY AUTO_INCREMENT, filename VARCHAR(255) NOT NULL, relative_path VARCHAR(512) NOT NULL COMMENT '如: d_files/report.pdf', mime_type VARCHAR(128), created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP, is_active TINYINT(1) DEFAULT 1 );将 D 盘目标目录（如
D:d_files）中的文件扫描后批量插入该表，并确保relative_path仅保存相对子路径（不包含盘符或绝对路径前缀）。 -
安全列出文件（前端展示）
使用 PDO 查询启用状态的文件，仅显示文件名（隐藏路径细节）：<?php try { $pdo = new PDO('mysql:host=localhost;dbname=your_db', $user, $pass); $stmt = $pdo->query("SELECT id, filename FROM files WHERE is_active = 1 ORDER BY filename"); while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) { echo "<a href='download.php?id={$row['id']}' target='_blank'>{$row['filename']}</a><br>"; } } catch (PDOException $e) { error_log("File listing failed: " . $e->getMessage()); echo "<p>暂无可用文件</p><div class="aritcle_card flexRow"> <div class="artcardd flexRow"> <a class="aritcle_card_img" href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站"><img src="https://img.php.cn/upload/skill/000/000/081/179040786932301.jpg" alt="btpanel phpsite 宝塔面板PHP网站" ></a> <div class="aritcle_card_info flexColumn"> <a href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站">btpanel phpsite 宝塔面板PHP网站</a> <p>宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理</p> </div> <a href="/xiazai/skill5233" title="btpanel phpsite 宝塔面板PHP网站" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a> </div> </div><p><span>立即学习</span>“<a href="https://pan.quark.cn/s/7fc7563c4182" style="text-decoration: underline !important; color: blue; font-weight: bolder;" rel="nofollow" target="_blank">PHP免费学习笔记（深入）</a>”；</p>"; } ?> -
download.php—— 安全下载入口（关键！）
该脚本必须完成三重校验：ID有效性、文件存在性、MIME类型合法性：<?php // download.php if (!isset($_GET['id']) || !is_numeric($_GET['id'])) { http_response_code(400); die("Invalid request"); } $id = (int)$_GET['id']; $baseDir = __DIR__ . '/d_files/'; // ✅ 严格限定根目录（如映射到 D:d_files） try { $pdo = new PDO('mysql:host=localhost;dbname=your_db', $user, $pass); $stmt = $pdo->prepare("SELECT filename, relative_path FROM files WHERE id = ? AND is_active = 1"); $stmt->execute([$id]); $file = $stmt->fetch(PDO::FETCH_ASSOC); if (!$file) { http_response_code(404); die("File not found or disabled"); } $fullPath = $baseDir . ltrim($file['relative_path'], '/\'); // 防止路径穿越 if (!is_file($fullPath) || strpos(realpath($fullPath), realpath($baseDir)) !== 0) { http_response_code(403); die("Access denied"); } $mimeType = mime_content_type($fullPath) ?: 'application/octet-stream'; header('Content-Type: ' . $mimeType); header('Content-Disposition: attachment; filename="' . rawurlencode($file['filename']) . '"'); header('Content-Length: ' . filesize($fullPath)); readfile($fullPath); exit; } catch (Exception $e) { error_log("Download failed for ID {$id}: " . $e->getMessage()); http_response_code(500); die("Download failed"); } ?>
⚠️ 重要注意事项：
- 禁用
allow_url_fopen和allow_url_include（php.ini），防止远程文件包含； - Web服务器（如Apache/Nginx）需禁止直接访问
d_files/目录（通过.htaccess或 location block）； - 生产环境务必启用 HTTPS，防止下载链接被篡改；
- 对 PDF 等可执行内容，建议添加
X-Content-Type-Options: nosniff响应头； - 如需支持大文件，考虑使用
fpassthru()+ob_flush()分块传输，避免内存溢出。
通过此方案，既满足了“浏览D盘文件并下载”的业务需求，又完全规避了路径泄露与越权访问风险，符合OWASP安全开发规范。
