如何获取触发下载链接的来源页面URL？

一、获取下载来源页面的两种方式 #

1. 前端显式传递参数 #

在Blade模板的下载链接中，直接将当前页面URL作为参数附加到下载路由后，Laravel可以用url()->current()快速获取当前页面地址：

{{-- Blade模板中的下载链接示例 --}}
<a href="{{ route('download', ['file' => $targetFile, 'source' => url()->current()]) }}">下载文件</a>

在下载路由对应的控制器方法中，直接通过request('source')即可获取并记录来源页面URL。

2. 读取HTTP Referer请求头 #

浏览器正常跳转发起下载时，会自动携带Referer请求头，记录跳转前的页面地址。控制器中可通过request()->header('Referer')获取该值。

• 针对Postman等API调用工具，可要求调用方手动设置Referer头传入来源标识（如api/postman）
• 注意：部分浏览器隐私插件或设置会屏蔽Referer，建议和前端传参方式结合使用，避免获取不到来源的情况。

二、防篡改的可行性与方案 #

所有HTTP请求的参数、请求头都存在被篡改的可能——无论是前端传递的source参数，还是Referer头，都可以通过Postman、浏览器控制台、代理工具等手动修改。如果需要提升来源信息的可信度，可采用以下方案：

1. 签名URL验证（针对前端传递的参数） #

利用Laravel的签名URL功能，给包含source参数的下载链接添加签名，篡改后签名会失效：

// 在Blade或控制器中生成带签名的下载链接（设置30分钟有效期）
$signedDownloadUrl = URL::signedRoute(
    'download',
    ['file' => $targetFile, 'source' => url()->current()],
    now()->addMinutes(30)
);

在下载控制器中验证签名有效性：

public function download(Request $request)
{
    if (! $request->hasValidSignature()) {
        abort(403, '无效的下载链接');
    }
    // 此时的source参数可信，可直接记录
    $sourcePage = $request->input('source');
    // 执行日志记录与下载逻辑...
}

2. 来源域名白名单（针对Referer头） #

如果仅允许自有域名下的页面发起下载，可通过中间件验证Referer的域名：

// 自定义中间件VerifyDownloadSource
public function handle(Request $request, Closure $next)
{
    $referer = $request->header('Referer');
    if ($referer) {
        $refererHost = parse_url($referer)['host'] ?? '';
        $allowedDomains = ['example.com', 'your-subdomain.example.com'];
        if (!in_array($refererHost, $allowedDomains)) {
            logger()->warning('下载请求来自未授权域名', ['referer' => $referer]);
            // 可选：直接拒绝请求 abort(403)
        }
    }
    return $next($request);
}

将该中间件绑定到下载路由上，即可过滤非授权域名的请求，但无法防止同域名下的参数篡改。

三、API调用场景的处理 #

对于Postman等工具的API调用：

• 要求调用方必须传入source参数，明确标注来源（如api/postman-test）
• 可搭配API密钥+请求签名的验证机制，确保请求本身的合法性，同时记录传入的source值

内容的提问来源于stack exchange，提问作者pileup