从服务器获取并播放非Web根目录下音频文件的技术问题

刚好之前做过类似的权限控制音频播放需求，给你分享下可行的解决方案——核心思路就是用服务器端脚本做安全代理，不让客户端直接接触到真实的文件路径，同时验证用户权限后再输出音频内容。

1. 核心逻辑说明 #

你把音频存到Webroot外的思路完全正确，这样用户没法通过URL直接访问文件。但浏览器只能请求Webroot内的资源，所以需要一个Webroot内的脚本作为中间层：

• 先验证当前用户的权限（比如登录状态、权限等级）
• 权限通过后，读取Webroot外的音频文件
• 把文件内容以音频格式输出给浏览器

2. PHP示例实现（适配多数Apache/Nginx环境） #

在Webroot目录下创建一个play_audio.php文件，代码如下：

<?php
// 第一步：验证用户权限（替换成你自己的权限校验逻辑）
session_start();
// 示例：检查用户是否登录，且权限等级符合要求
if (!isset($_SESSION['valid_user']) || $_SESSION['permission_level'] < 1) {
    http_response_code(403);
    echo "无权限访问此音频";
    exit;
}

// 第二步：指定Webroot外的音频文件真实路径
// 比如Webroot是/var/www/html/，音频存在/var/protected_audio/下
$audio_file = '/var/protected_audio/mymusic.mp3';

// 检查文件是否存在且可读
if (!file_exists($audio_file) || !is_readable($audio_file)) {
    http_response_code(404);
    echo "音频文件不存在";
    exit;
}

// 第三步：设置正确的HTTP响应头，告诉浏览器这是MP3音频
header("Content-Type: audio/mpeg");
header("Content-Length: " . filesize($audio_file));
// 用inline表示直接播放，而非强制下载
header("Content-Disposition: inline; filename=\"" . basename($audio_file) . "\"");

// 第四步：输出音频文件内容
readfile($audio_file);
exit;

3. 前端调用方式 #

在你的页面里，把音频标签的src指向这个脚本即可：

<audio controls>
  <source src="/play_audio.php" type="audio/mpeg">
  你的浏览器不支持音频播放功能
</audio>

4. 关键注意事项 #

• 服务器权限设置：必须确保Web服务器的运行用户（比如www-data、apache）对Webroot外的音频目录有只读权限，绝对不能给写入权限，避免安全风险。
• 测试过渡：你现在测试用的MP3还在Webroot里，可以先把$audio_file改成Webroot内的路径，先验证脚本和前端播放是否正常，再把文件移到Webroot外调整路径测试。
• 安全防护：如果需要支持多文件播放，不要直接让用户传入文件名参数（比如play_audio.php?file=mymusic.mp3），容易引发路径遍历攻击。建议用文件ID映射真实路径，或者严格的白名单过滤。
• 缓存优化：如果音频文件不会频繁修改，可以添加缓存头（比如Cache-Control: max-age=86400），减少服务器重复读取文件的压力，但要注意权限变更时的缓存失效问题。

内容的提问来源于stack exchange，提问作者user9371066