WordPress中如何对@fread()读取的文件内容进行安全转义输出

问题根源 #

你遇到的循环下载问题核心是 wp_kses_post() 函数的适用场景错误：

wp_kses_post() 是专为HTML文本内容设计的过滤函数，仅保留WordPress文章允许的HTML标签，会直接篡改二进制文件（PDF、DOCX、图片、压缩包等非HTML格式文件）的内容结构，导致文件损坏，浏览器无法正常识别下载文件，从而触发循环下载的异常。

分场景解决方案 #

场景1：输出内容为HTML/文本类文件，需要做XSS过滤 #

• 不要对分块读取的不完整内容调用wp_kses_post()，函数需要完整的HTML结构才能正确解析，分块内容的不完整标签会导致过滤结果异常。
• 优化方案：先一次性读取完整文件内容，调用wp_kses_post()处理完成后再输出，若文件过大，可改用esc_html()逐块转义纯文本内容。

场景2：输出内容为非HTML类文件（如简历附件、资源包等） #

这类场景不需要对文件内容做HTML过滤，安全校验要做在输出之前：

• 校验文件路径是否在你预设的允许目录范围内，防范目录遍历漏洞
• 校验文件扩展名、MIME类型是否符合允许的范围，禁止输出PHP、JS等可执行文件
• 输出前正确发送HTTP头，明确告知浏览器文件类型和处理方式

优化后的分块输出代码示例 #

private function readfile_chunked($file, $allowed_mimes = ['application/pdf', 'application/vnd.openxmlformats-officedocument.wordprocessingml.document']) {
    $chunksize = 1024 * 1024;

    // 安全校验1：校验文件是否存在
    if (!is_file($file)) {
        return false;
    }

    // 安全校验2：校验MIME类型是否在允许范围内
    $finfo = new Finfo(FILEINFO_MIME_TYPE);
    $mime = $finfo->file($file);
    if (!in_array($mime, $allowed_mimes)) {
        return false;
    }

    // 安全校验3：可选，校验文件路径是否在允许的目录内，避免目录遍历
    $allowed_dir = WP_CONTENT_DIR . '/uploads/你的自定义目录/';
    if (strpos(realpath($file), realpath($allowed_dir)) !== 0) {
        return false;
    }

    // 发送正确的HTTP头
    header('Content-Type: ' . $mime);
    header('Content-Disposition: attachment; filename="' . basename($file) . '"');
    header('Content-Length: ' . filesize($file));
    header('Cache-Control: no-cache, must-revalidate');

    $handle = fopen($file, 'r');
    if (false === $handle) {
        return false;
    }

    while (!feof($handle)) {
        $content = fread($handle, $chunksize);
        echo $content; // 二进制文件不需要过滤内容，前置校验已经保障安全

        if (ob_get_length()) {
            ob_flush();
            flush();
        }
    }

    return fclose($handle);
}

替代echo的实现方案 #

如果不需要自定义分块逻辑，也可以直接使用内置函数实现安全下载：

• 小文件可以直接调用readfile($file)，PHP底层会自动处理输出逻辑，内存占用更低
• 接口场景也可以使用WordPress的wp_send_json()等函数处理结构化输出，普通文件下载直接输出原生内容即可，不需要额外转义。

内容的提问来源于stack exchange，提问作者sehrish