PHP下载功能异常：带权限校验的动态下载失效问题

你遇到的问题挺典型的——带权限校验的下载服务在权限判断的if块内调用download()函数时，总是生成0字节、文件名为download.php的无效文件，但把同样的download()调用放到if块外就完全正常，而且这个功能之前还能跑通。先帮你拆解问题根源，再给出修复方案。

问题根源分析 #

从你的代码和现象来看，核心问题应该是输出缓冲区已经有内容被提前输出到浏览器，导致HTTP头无法正确设置，最终下载响应异常：

• 意外的隐形输出：config.php或utils.php里可能存在空格、换行、UTF-8 BOM头，或者数据库连接时的警告/调试输出，这些内容会在header()调用前就被发送到浏览器。一旦有任何内容输出，header()就会失效，浏览器会把整个PHP脚本的输出当成普通HTML，最终把download.php本身作为下载文件（因为没有正确的Content-Disposition头）。
• 权限逻辑的隐性输出：hasProduct()或getProduct()函数内部可能隐藏着调试语句、错误提示，哪怕是一个不经意的空格，都会破坏HTTP头的设置。
• 缓冲区清理不彻底：你虽然调用了ob_clean()，但如果内容已经被输出到浏览器（而非停留在缓冲区），这个函数也无能为力。

修复步骤 #

1. 检查被包含文件的隐形输出

打开config.php和utils.php：

• 确保文件开头没有任何空格、换行，也不要有UTF-8 BOM头（部分编辑器会自动添加，这是隐形输出的重灾区）。
• 检查数据库连接代码，关闭display_errors，移除所有echo、print_r之类的调试语句，避免错误信息提前输出。

2. 重构权限判断块的输出控制

在if块开头添加严格的缓冲区清理逻辑，确保HTTP头能正确发送：

<?php 
include "utils/config.php"; 
include "utils/utils.php"; 

// 提前开启缓冲区，拦截所有意外输出
ob_start();

if($isLoggedIn && isset($_POST['id']) && hasProduct($userid,$_POST['id'])){
    // 彻底清空所有缓冲区内容
    while (ob_get_level()) {
        ob_end_clean();
    }

    $ID = $_POST['id'];
    $pdata = getProduct($ID);
    $file = $pdata['file'];
    $name = $pdata['dlfile'];
    $mime = $pdata['file_mime_type'];

    // 先验证文件存在且可读，避免后续报错
    if (!file_exists($file) || !is_readable($file)) {
        http_response_code(404);
        echo "目标文件不存在或无法读取";
        exit;
    }

    download($file,$name,$mime);
    // 下载完成后立即退出，防止后续代码输出
    exit;
} else {
    // 权限不足的提示（注意不要在下载头之后输出）
    echo "您没有权限下载该文件";
}
?>

3. 优化download()函数的健壮性

给download()函数加上完整的缓冲区清理和错误处理：

function download($f_location, $f_name, $type){
    // 再次验证文件可读性
    if (!is_readable($f_location)) {
        http_response_code(403);
        die("无法读取目标文件");
    }

    // 清除所有可能的残留输出
    while (ob_get_level()) {
        ob_end_clean();
    }

    header('Content-Description: File Transfer');
    header('Content-Type: '.$type);
    header('Content-Length: ' . filesize($f_location));
    header('Content-Disposition: attachment; filename="' . basename($f_name).'"');
    // 禁用浏览器缓存，避免旧文件干扰
    header('Cache-Control: no-cache, no-store, must-revalidate');
    header('Pragma: no-cache');
    header('Expires: 0');

    readfile($f_location);
    // 强制终止脚本，确保没有后续输出
    exit;
}

4. 开启错误日志排查隐性问题

在config.php开头添加错误日志配置，方便定位隐藏错误：

// 关闭错误显示，将错误写入日志
error_reporting(E_ALL);
ini_set('display_errors', 0);
ini_set('log_errors', 1);
ini_set('error_log', 'php_download_errors.log');

这样如果有数据库连接错误或函数内部的异常，会被记录到日志文件里，不会输出到浏览器破坏HTTP头。

关键注意点 #

• HTTP头必须在**任何输出（包括空格、换行）**之前发送，这是PHP下载功能的核心要求。
• 下载完成后一定要调用exit或die，防止后续代码输出内容破坏下载响应。
• 永远要验证文件的存在性和可读性，避免readfile失败导致空文件。

内容的提问来源于stack exchange，提问作者fluse1367