WordPress文章页表单提交跳转下载页面PHP代码失效问题

问题根源分析 #

1. Content-Length头格式错误
   表单传递的filesize是带单位的字符串（如15.5 MB），但HTTP协议要求Content-Length头必须是纯字节数值，浏览器无法解析带单位的值，直接导致下载流程中断。

2. 远程文件读取限制
   直接使用readfile()读取远程存储URL，依赖PHP配置allow_url_fopen开启，若该配置关闭则无法读取文件；同时远程存储URL可能存在访问权限、重定向等问题，导致读取失败。

3. HTTP头发送时机错误
   原PHP代码的闭合}和?>被包裹在<p>标签中，这会在发送HTTP头之前输出HTML内容，而HTTP头必须在任何输出（包括空白字符）之前发送，否则头信息无法生效。

4. Content-Disposition参数转义错误
   原代码中用"转义文件名的引号，在PHP字符串中属于无效转义，会导致文件名解析异常。

修复后的PHP代码 #

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (isset($_POST['id']) && isset($_POST['filename'])) {
        $id = rtrim($_POST['id'], '/'); // 移除URL末尾斜杠，避免重复拼接
        $filename = $_POST['filename'];
        $fileUrl = $id . '/' . $filename;

        // 获取远程文件的字节大小（替代原带单位的filesize）
        $fileSize = @filesize($fileUrl);
        if (!$fileSize) {
            // 若filesize无法获取，用curl获取文件大小
            $ch = curl_init($fileUrl);
            curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
            curl_setopt($ch, CURLOPT_HEADER, true);
            curl_setopt($ch, CURLOPT_NOBODY, true);
            curl_exec($ch);
            $fileSize = curl_getinfo($ch, CURLINFO_CONTENT_LENGTH_DOWNLOAD);
            curl_close($ch);
        }

        // 验证文件是否可访问
        if (!$fileSize || $fileSize <= 0) {
            die("文件无法访问或不存在");
        }

        // 发送正确的HTTP头
        header('Content-Type: application/octet-stream');
        header('Content-Disposition: attachment; filename="' . basename($filename) . '"');
        header('Content-Length: ' . $fileSize);
        header('Cache-Control: must-revalidate, post-check=0, pre-check=0');

        // 用curl输出远程文件，兼容性优于readfile
        $ch = curl_init($fileUrl);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, false);
        curl_exec($ch);
        curl_close($ch);
        exit;
    } else {
        echo "无效的表单数据";
    }
}
?>

额外优化建议 #

• 避免直接暴露远程存储地址，可在服务器端生成签名URL，提升文件安全性。
• 增加表单数据校验（如文件名格式、存储地址合法性），拦截恶意请求。
• 关闭PHP的display_errors配置，避免敏感错误信息泄露。

内容的提问来源于stack exchange，提问作者hassan javaid