PHP 強制瀏覽器下載圖片而非預覽：Content-Disposition 標頭正確設定

PHP 觸發檔案下載：Content-Disposition: attachment、MIME 類型、大檔案支援與安全檢查

預設瀏覽器會直接顯示圖片、PDF。若需強制下載（如相簿打包、報表匯出），必須送出正確的 HTTP 標頭。本文提供完整、安全的下載實作。

基本下載腳本

<?php
// download.php
$file = __DIR__ . '/files/' . basename($_GET['file'] ?? ''); // 僅允許檔名，防目錄遍歷
if (!is_file($file)) { http_response_code(404); exit('File not found'); }

$filename = basename($file);
$size = filesize($file);
$mime = mime_content_type($file) ?: 'application/octet-stream';

header('Content-Description: File Transfer');
header('Content-Type: ' . $mime);
header('Content-Disposition: attachment; filename="' . rawurlencode($filename) . '"; filename*=UTF-8\'\'' . rawurlencode($filename));
header('Content-Length: ' . $size);
header('Content-Transfer-Encoding: binary');
header('Cache-Control: must-revalidate, post-check=0, pre-check=0');
header('Pragma: public');
header('Expires: 0');

readfile($file); // PHP 內建分塊輸出，不佔記憶體
exit;
?>

HTML 連結

<a href="download.php?file=photo.jpg">下載照片</a>
<a href="download.php?file=report.pdf">下載報表</a>

關鍵標頭說明

大檔案與記憶體優化

• readfile() 內建 8KB 緩衝區串流輸出，**不會**將整個檔案載入記憶體。
• 若需更精確控制，可用 fopen() + fread() 迴圈 + ob_flush()/flush()。
• 關閉輸出緩衝：@ini_set('output_buffering', 'Off'); @ini_set('zlib.output_compression', 'Off');。

安全性檢查清單

1. 路徑遍歷防護：basename()、realpath() 確認在允許目錄下。
2. 權限控制：驗證使用者是否有權下載（登入、擁有者、權限表）。
3. 檔案類型白名單：僅允許 jpg,png,pdf,zip 等，拒絕 .php,.sh,.exe。
4. 防止熱連結：檢查 Referer 或簽名 URL (簽名含過期時間)。
5. 速率限制：同一 IP 每分鐘下載次數上限。

進階：X-Sendfile / X-Accel-Redirect (Nginx/Apache)

極大檔案 (GB 級) 由 Web Server 直接傳送，PHP 僅驗證權限：

// PHP
header('X-Accel-Redirect: /protected/files/' . $filename); // Nginx
header('X-Sendfile: /var/www/protected/files/' . $filename); // Apache (mod_xsendfile)
header('Content-Disposition: attachment; filename="' . rawurlencode($filename) . '"');
exit;

// Nginx 設定
location /protected/ {
    internal;
    alias /var/www/protected/;
}

優點：零 PHP 記憶體/CPU 佔用、支援斷點續傳、高併發。

常見問題

1. 上一篇文章： PHP 計算距離指定日期剩餘天數：生日倒數、活動倒數計時器
2. 下一篇文章： PHP 下載遠端圖片儲存至伺服器：cURL 串流、副檔名偵測、錯誤處理

PHP 相關知識

XAMPP 安裝與配置完整教學：本機 PHP 開發環境快速建置

什麼是 XAMPP？ XAMPP 是一個跨平台的整合安裝包，

MySQL Root 密碼遺忘解決方案：跳過授權表啟動、修改密碼、安全重啟完整圖文步驟

遺忘 MySQL root 密碼是常見運維場景。本文提供 W

Yii 2.0 實現文章列表置頂功能完整教學

需求分析 文章列表置頂是 CMS 系統常見功能。核心邏輯：獲

微信網頁授權獲取用戶信息完整實現指南（Yii2 框架實戰）

微信網頁授權獲取用戶信息完整實現指南（Yii2 框架實戰）