header()强制下载在PHP 8.4中的实现
php 8.4中通过header('content-disposition: attachment; filename="..."')即可实现强制下载，无需额外配置。核心做法是设置正确的mime类型并输出文件内容。
\$filename = 'report.pdf';
\$filepath = '/path/to/' . \$filename;
if (file_exists(\$filepath)) {
header('Content-Type: application/pdf');
header('Content-Disposition: attachment; filename="' . basename(\$filepath) . '"');
header('Content-Length: ' . filesize(\$filepath));
readfile(\$filepath);
exit;
}
上述代码检查文件是否存在后，发送三个关键Header：类型、处置方式和长度，随后读取文件流并终止脚本。若文件不存在，不会触发下载行为。
PHP 8.5对下载行为的预期变化
目前PHP官方未发布8.5版本，但基于开发路线图，预计将强化安全默认值，可能影响readfile()或Header解析的边界条件处理。
立即学习“PHP免费学习笔记（深入）”；
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
// 假设PHP 8.5引入更严格的文件名验证
function safe_download(string \$filename): void {
// 过滤非法字符
\$clean_name = preg_replace('/[^a-zA-Z0-9._-]/', '', \$filename);
if (empty(\$clean_name)) {
throw new InvalidArgumentException('Invalid filename');
}
header('Content-Disposition: attachment; filename="' . \$clean_name . '"');
// ... 其他逻辑
}
新版本的潜在改进包括自动清理文件名中的特殊字符，防止路径遍历或注入攻击。开发者需关注官方文档关于header()参数校验的更新说明。
文件名包含中文时的下载表现
当文件名包含中文时，PHP 8.4直接使用UTF-8编码可能导致部分浏览器显示乱码，需使用RFC 6266标准格式进行编码。
\$filename = '报告.pdf';
\$encoded = rawurlencode(basename(\$filename));
header('Content-Disposition: attachment; filename*=UTF-8\'\'' . \$encoded);
使用filename*=UTF-8'语法可确保现代浏览器正确解析非ASCII字符。旧版IE浏览器可能不支持此格式，需回退到filename=属性。
