PHP开发文件管理器时fopen读文件与Content-Type冲突问题

• HTTP协议规定单个HTTP响应只能携带一个Content-Type头，无论怎么操作PHP输出缓冲区，都无法在同一个响应里同时使用两种内容类型渲染内容，这是你之前多缓冲区方案失效的根本原因。
• 直接输出未转义的文件内容时，浏览器会把文件内的HTML、PHP代码当作当前页面的DOM内容解析执行，自然不会展示原始源码。

不需要调整Content-Type为非text/html类型，只需对输出的文件内容做转义处理，即可同时保留目录链接的可点击性和源码的文本展示效果：

1. 读取文件内容后使用htmlspecialchars()转义所有HTML特殊字符，避免浏览器解析执行内容中的代码
2. 将转义后的内容包裹在<pre><code>标签中，保留源码的缩进、换行格式

修复后代码示例 #

<?php
function list_all_files($directory){
    if($handle = opendir($directory.'/')){
        echo "当前目录：'$directory'"."<br>";
    }
    while($file = readdir($handle)){
        if($file != '.' && $file != '..') {
            echo '<a href="?dir='.$directory.'&read='.$directory.'/'.$file.'">'.$file.'</a><br>';
        }
    }
    closedir($handle);
}

function read_file($file)
{
    if (!is_file($file)) {
        echo "文件打开失败";
        return;
    }
    $content = file_get_contents($file);
    // 转义HTML特殊字符，避免代码被浏览器解析
    echo htmlspecialchars($content, ENT_QUOTES);
}

// 主逻辑
if(!isset($_GET['dir'])) {
    $dir = getcwd();
}else{
    // 注意：此处需要补充路径范围校验，避免目录遍历漏洞
    $dir = realpath($_GET['dir']);
}

header('Content-Type: text/html; charset=UTF-8');
list_all_files($dir);

if(isset($_GET['read'])){
    // 注意：此处需要补充路径范围校验，避免目录遍历漏洞
    $file1 = realpath($_GET['read']);
    echo '<hr><h3>文件源码：</h3><pre><code>';
    read_file($file1);
    echo '</code></pre>';
}
?>

如果你需要单独的源码预览页面，可以将文件读取逻辑拆分到独立的preview.php文件中，目录列表的文件链接指向该独立页面，该页面单独设置Content-Type: text/x-php头输出源码，不会影响目录列表的渲染效果。

• 务必对$_GET['dir']和$_GET['read']参数做合法性校验，限制可访问的目录范围，避免出现目录遍历漏洞，导致服务器敏感文件泄露。

内容的提问来源于stack exchange，提问作者Umair Ali