Spring MVC 文件下載完整實現：登錄保護與防盜鏈

文件下載核心原理

Controller 方法返回 void，注入 HttpServletResponse，通過設置三個關鍵響應頭實現瀏覽器「另存為」彈窗：

1. Content-Type：文件 MIME 類型，未知時用 application/octet-stream 強制下載。
2. Content-Disposition: attachment; filename=xxx：指定下載文件名。
3. 輸出流寫入文件二進制數據。

案例一：登錄用戶專屬下載

領域類

public class Login {
    private String username;
    private String password;
    // Getter/Setter
}

控制器

視圖頁面

<!-- Main.jsp -->
<a href="resource_download" rel="external nofollow">Down</a>

<!-- LoginForm.jsp -->
<form:form commandName="login" action="login" method="post">
    賬號: <form:input path="username"/><br>
    密碼: <form:input path="password"/><br>
    <input type="submit" value="提交">
</form:form>

案例二：防盜鏈（禁止直接輸入 URL 下載）

利用 @RequestHeader("Referer") 判斷請求來源：

注意：Referer 可被偽造，生產環境建議結合 Token、簽名 URL 或 Spring Security 資源服務器機制。

最佳實踐提煉

• 文件存放於 WEB-INF 或服務器非 Web 目錄，杜絕直接 URL 訪問。
• 大文件必須使用緩衝流分塊寫入，避免 OOM。
• 文件名包含中文時，需對 Content-Disposition 的 filename 進行 RFC 5987 編碼（filename*=UTF-8''%E6%96%87%E4%BB%B6.zip）。
• 生產環境推薦使用 ResourceHttpRequestHandler 或 ResponseEntity<Resource> 簡化代碼。