Laravel/Nginx/Ubuntu下载响应出现字符注入与文件截断问题

问题核心 #

文件下载时开头注入4个空白字符（ASCII 20）、末尾截断4个字符，原始文件正常但通过Laravel响应返回异常，覆盖PDF/CSV等多文件类型，环境为Laravel 8 + Nginx 1.18 + Ubuntu 20.04。

排查与解决步骤 #

1. 修复响应头的语法错误

你的代码中Content-Type的写法不符合Laravel响应头的键值对规范，错误的字符串格式会导致响应头解析异常，进而干扰内容传输：

// 错误写法
'Content-Type: application/pdf;'

// 正确写法
'Content-Type' => 'application/pdf'

修正后的完整代码：

$pdf->save( storage_path('invoices/'.$filename) );

return response()->download(
    storage_path('invoices/'.$filename),
    $filename,
    [
        'Content-Description' => 'File Transfer',
        'Content-Type' => 'application/pdf',
    ]
)->deleteFileAfterSend(true);

2. 排查PHP文件中的多余空白输出

Laravel应用中任何PHP文件的<?php标签前、或文件末尾?>后的空白字符（包括换行、空格）都会被输出到响应流中，导致文件开头注入空白，同时因为Content-Length是按原始文件大小计算的，末尾会被截断对应长度的内容：

• 检查所有路由文件（routes/web.php、routes/api.php）、控制器、中间件文件，确保<?php前无任何空白字符
• 建议移除文件末尾的?>标签（Laravel官方默认不推荐添加，避免意外输出）

3. 测试关闭Nginx的Gzip压缩

Nginx的Gzip配置可能在传输过程中篡改内容，临时关闭测试：
在Nginx的server块中添加：

gzip off;

执行sudo systemctl restart nginx重启服务后重新下载测试。

4. 排查自定义中间件的意外输出

检查项目中的自定义中间件，确认没有在响应发送前执行echo、var_dump等输出操作，这类内容会混入文件响应流中。

5. 用原生PHP代码验证问题来源

如果以上步骤无效，用原生PHP代码直接输出文件，判断问题是否来自Laravel框架：

$filePath = storage_path('invoices/'.$filename);
header('Content-Description: File Transfer');
header('Content-Type: application/pdf');
header('Content-Disposition: attachment; filename="'.$filename.'"');
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($filePath));

// 清空输出缓冲区，避免残留内容
ob_clean();
flush();
readfile($filePath);
unlink($filePath);
exit;

• 如果此代码正常：问题出在Laravel的中间件或响应处理逻辑，可逐一禁用中间件排查
• 如果此代码仍异常：问题出在Nginx或PHP配置，可检查PHP的output_buffering设置（尝试在php.ini中设置output_buffering = Off后重启php-fpm）

内容的提问来源于stack exchange，提问作者user1947188