如何避免PDF文件交付时浏览器新建标签页引发的问题？

问题背景 #

我运营着一个网站，用户登录后可下载个性化PDF文档。目前遇到一个棘手问题：
通过以下PHP函数交付文档时，移动设备上部分浏览器会直接在新标签页打开PDF。当用户关闭浏览器数小时后重新打开，浏览器会尝试恢复这些标签页，触发大量无效下载请求——单设备曾在3秒内触发56次请求，直接触发了mod_evasive及其他DOS攻击防护工具。

交付PDF的核心代码：

function _outputContent(&$fileEntry) {
  // 返回解密后的PDF文件内容
  header("Cache-Control: must-revalidate, post-check=0, pre-check=0");
  header("Cache-Control: private",false);
  header("Accept-Ranges: bytes");
  header("Pragma: public");
  header('Expires: 0');
  header("Content-Description: File Transfer");
  header("Content-Type: application/pdf");
  header("Content-Disposition: attachment; filename=\"" . $fileEntry["name"] . "\"");
  header("Content-Transfer-Encoding: binary");
  header("Content-Length: " . strlen($fileEntry["decrypted"]));

  echo $fileEntry["decrypted"];
}

需求明确：必须保留PDF直接打开的功能，同时避免浏览器恢复标签页时重复触发无效下载，或直接阻止新建标签页。

可行解决方案 #

1. 一次性有效URL（最彻底的方案） #

• 为每个PDF生成绑定用户会话+文件ID的一次性令牌，令牌使用后立即标记为失效。
• 修改下载接口逻辑：请求携带的令牌需同时满足「属于当前登录用户」「未被使用过」两个条件，才返回PDF内容；否则直接返回403/404状态码。
• 即使浏览器恢复标签页，重复请求会因令牌失效被拦截，从根源杜绝无效请求。

2. 调整响应头，阻止浏览器缓存恢复状态 #

• 替换现有缓存控制头，添加no-store指令，明确告诉浏览器不要将该页面加入会话恢复列表：

  header("Cache-Control: no-store, must-revalidate");
  header("Pragma: no-cache");
  header("Expires: 0");
  

  注意：不同移动浏览器对这类头的兼容性有差异，需多机型测试验证效果。

3. 前端JS触发下载，避免新建标签页 #

• 前端不直接通过链接跳转打开下载URL，而是用Fetch/XMLHttpRequest获取PDF Blob，再通过本地URL触发下载：

  // 前端示例代码
  fetch('/your-download-endpoint', {
    method: 'GET',
    credentials: 'include' // 携带登录会话信息
  })
  .then(response => response.blob())
  .then(blob => {
    const downloadUrl = URL.createObjectURL(blob);
    const link = document.createElement('a');
    link.href = downloadUrl;
    link.download = 'custom-filename.pdf'; // 可动态设置文件名
    document.body.appendChild(link);
    link.click();
    document.body.removeChild(link);
    URL.revokeObjectURL(downloadUrl); // 释放资源
  });
  

  这种方式不会新建标签页，直接触发系统下载弹窗，既满足用户直接打开PDF的需求（下载后可选择打开），又彻底避免了标签页恢复的问题。

4. 结合Content-Disposition与Link头优化 #

• 保留Content-Disposition: inline让浏览器直接打开PDF，同时添加Link头标记页面无需恢复：

  header("Content-Disposition: inline; filename=\"" . $fileEntry["name"] . "\"");
  header("Link: <" . $_SERVER['REQUEST_URI'] . ">; rel=canonical; no-store");
  

  部分现代浏览器会识别no-store的Link属性，不将该页面纳入会话恢复列表。

内容的提问来源于Stack Exchange，提问作者Volker