網頁自動下載檔案至本地：瀏覽器安全機制限制與替代方案

核心結論

**瀏覽器安全策略禁止網頁在無使用者互動下自動下載檔案至指定本地路徑。** 任何聲稱能「靜默下載並指定保存路徑」的方案（如 ActiveX/OCX、NPAPI 外掛）均屬過時且高風險技術，現代瀏覽器已全面封殺。

標準合規做法

1. 使用者主動點擊：提供下載連結或按鈕，使用者點擊後觸發下載。

   <a href="/api/download/file.pdf" download="custom_name.pdf">下載檔案</a>

2. 後端設定響應 Header 強制瀏覽器彈出「另存為」對話框：

   Content-Disposition: attachment; filename="file.pdf"
   Content-Type: application/octet-stream

3. Blob/Object URL 客戶端生成下載（適用於前端生成內容）：

   function downloadBlob(blob, filename) {
       const url = URL.createObjectURL(blob);
       const a = document.createElement('a');
       a.href = url; a.download = filename; a.click();
       URL.revokeObjectURL(url);
   }

「檢查是否已下載」的替代方案

• **無法直接讀取本地檔案系統**（沙箱隔離）。
• 可用 localStorage/IndexedDB 記錄「已下載」狀態標記，下次載入頁面時判斷是否顯示下載提示。
• 或由後端記錄使用者下載歷史，前端查詢 API 決定 UI 狀態。

避坑指南

拒絕使用 WebClient (C# 伺服器端類)、**OCX/ActiveX**、**Flash**、**Java Applet**、**NPAPI** 等已淘汰技術。現代 Web 開發請遵循「使用者主導、權限最小化」原則。