htaccess拦截zip后如何给已登录用户开放下载权限 未登录禁止访问

你当前的.htaccess配置是直接拦截所有.zip文件的访问请求，Apache服务器本身无法直接识别你业务系统的登录状态，因此会无差别拦截所有用户，包括已登录用户。以下是两种可落地的实现方案：

方案一：后端代理下载（最推荐，安全性最高） #

• 第一步：禁止所有直接访问zip文件的请求
  在/data/downloads/目录下新建.htaccess文件，写入以下内容：

Order Deny,Allow
Deny from all

该配置会彻底屏蔽所有直接通过URL访问该目录下zip文件的请求，从根源避免路径泄露导致的文件被盗。

• 第二步：开发后端下载接口
  以PHP为例，新增download.php文件，逻辑如下：

<?php
session_start();
// 校验用户登录状态，替换为你自己系统的登录判断逻辑
if (empty($_SESSION['user_login_status'])) {
    header("HTTP/1.1 403 Forbidden");
    exit("请先登录后再尝试下载");
}

// 白名单校验下载文件，避免目录穿越漏洞
$allow_files = [
    'download.zip' => 'download.zip'
];
$request_file = $_GET['filename'] ?? '';
if (!isset($allow_files[$request_file])) {
    header("HTTP/1.1 404 Not Found");
    exit("文件不存在");
}

// 拼接文件物理路径，替换为你服务器上实际的文件存储路径
$file_path = __DIR__ . '/data/downloads/' . $allow_files[$request_file];
if (!file_exists($file_path)) {
    header("HTTP/1.1 404 Not Found");
    exit("文件不存在");
}

// 输出下载响应头
header('Content-Type: application/zip');
header('Content-Disposition: attachment; filename="' . $request_file . '"');
header('Content-Length: ' . filesize($file_path));
// 读取文件输出给用户
readfile($file_path);
exit;
?>

• 第三步：替换下载入口
  前端的下载地址改为指向download.php?filename=download.zip即可，不会暴露文件的真实存储路径。

方案二：.htaccess结合Cookie校验（仅适用于临时场景，安全性较低） #

如果暂时不想修改业务代码，且你的登录系统会在用户登录成功后写入固定的登录标记Cookie，可以用Apache的重写规则实现拦截，需要开启mod_rewrite模块，在根目录的.htaccess中写入以下内容：

RewriteEngine On
# 匹配所有zip文件请求
RewriteCond %{REQUEST_URI} \.zip$
# 校验是否存在登录标记Cookie，将user_logined=1替换为你系统实际的登录Cookie键值对
RewriteCond %{HTTP_COOKIE} !user_logined=1 [NC]
# 不符合条件的请求返回403禁止访问
RewriteRule ^.*$ - [F,L]

注意：该方案存在Cookie伪造的安全风险，如果登录Cookie没有做加密签名，攻击者可以自行构造对应Cookie绕过限制，仅适合对安全性要求不高的场景使用。

内容的提问来源于stack exchange，提问作者Jack Maessen