PHP下载密码保护目录文件时file_exists等函数失效的解决方法

问题根源 #

file_exists()、filesize()是面向本地文件系统设计的函数，虽然PHP支持HTTP流包装器，但默认不识别URL中嵌入的user:pass@格式的身份认证信息；如果环境中关闭了allow_url_fopen配置，这两个函数完全无法处理远程URL，你当前代码里把认证信息直接拼在URL中的写法本身兼容性极差，必然会失效。

根据文件存储位置的不同，可选择以下两种方案实现：

方案1：文件存储在当前服务本地（首选，性能最优） #

如果受密码保护的文件夹就在运行当前PHP代码的服务器上，完全不需要走HTTP请求读取文件，直接使用本地文件系统路径即可，彻底绕开HTTP认证逻辑。

注意：Web服务器配置的文件夹密码保护仅对外部HTTP请求生效，PHP通过本地文件系统直接读取磁盘文件不会经过Web服务器的HTTP认证流程，不需要配置账号密码即可正常读取受保护目录内的文件。

示例代码：

<?php
// 替换为文件在服务器上的真实绝对路径，不要填写HTTP URL
$filePath = '/var/www/test/2/file.zip';
$fileName = basename($filePath);

if (is_file($filePath) && is_readable($filePath)) {
    // 清理输出缓冲区，避免历史输出内容导致下载文件损坏
    ob_clean();
    header("Content-Disposition: attachment; filename=\"{$fileName}\"");
    header("Content-Type: application/octet-stream");
    header("Content-Length: " . filesize($filePath));
    header("Connection: close");
    readfile($filePath);
    exit;
}

http_response_code(404);
echo "文件不存在或无读取权限";
?>

使用该方案时注意做好路径校验，不要直接把前端传入的参数拼接进文件路径，避免出现目录遍历漏洞。

方案2：文件存储在开启了HTTP Basic认证的远程服务器上 #

如果文件不在本地，必须通过HTTP请求拉取，不要使用URL拼接凭据的写法，改用cURL扩展处理认证逻辑、校验文件存在性、获取文件大小和内容，兼容性和可靠性远高于流包装器写法。

示例代码：

<?php
// 远程地址、认证信息分开配置，不要拼接到URL中
$remoteUrl = 'https://www.testdomain.com/test/2/file.zip';
$authUser = 'testuser';
$authPass = 'password';
$fileName = basename($remoteUrl);

// 先发起HEAD请求校验文件可访问性、获取文件大小
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $remoteUrl);
curl_setopt($ch, CURLOPT_HTTPAUTH, CURLAUTH_BASIC);
curl_setopt($ch, CURLOPT_USERPWD, "{$authUser}:{$authPass}");
curl_setopt($ch, CURLOPT_NOBODY, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
curl_exec($ch);

$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
$fileSize = curl_getinfo($ch, CURLINFO_CONTENT_LENGTH_DOWNLOAD);
curl_close($ch);

if ($httpCode !== 200 || $fileSize <= 0) {
    http_response_code(404);
    echo "远程文件不存在或认证失败";
    exit;
}

// 拉取文件内容输出为下载流
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $remoteUrl);
curl_setopt($ch, CURLOPT_HTTPAUTH, CURLAUTH_BASIC);
curl_setopt($ch, CURLOPT_USERPWD, "{$authUser}:{$authPass}");
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, false);

ob_clean();
header("Content-Disposition: attachment; filename=\"{$fileName}\"");
header("Content-Type: application/octet-stream");
header("Content-Length: {$fileSize}");
header("Connection: close");
curl_exec($ch);
curl_close($ch);
exit;
?>

通用注意事项 #

• 输出下载流前必须调用ob_clean()清空缓冲区，避免PHP脚本之前输出的BOM头、报错信息、调试内容混入文件流，导致下载的文件损坏
• 文件输出完成后必须调用exit终止脚本执行，防止后续多余内容追加到文件末尾
• 不要在URL中直接拼接账号密码，部分服务器、PHP版本会主动拦截URL内的凭据信息，导致认证失败

内容的提问来源于stack exchange，提问作者Border