PHP下载服务器文件到本地，最直接的方案是使用readfile()函数配合header()设置响应头，或使用cURL库进行流式传输；前者适合服务器本地文件，后者适合远程文件或大文件下载。我就用一个实际开发中的场景，带你走一遍完整的实现流程,并把你大概率会踩的坑提前填平。
php实现文件下载的3种核心方式
上周有个做企业站的朋友问我，说用户在前台点”下载合同模板”，结果浏览器直接把一堆乱码打出来了，这种问题十有八九是响应头没设置对，先别急着写代码，你得清楚PHP下载文件本质上是让浏览器识别服务器返回的二进制流,而不是当HTML解析。
readfile() 读本地文件
这是最基础、最常用的方式,适合文件存放在你服务器磁盘上的情况。
<?php
$file = 'uploads/2026/contract_template.docx';
if (file_exists($file)) {
header('Content-Description: File Transfer');
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="' . basename($file) . '"');
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($file));
// 清空输出缓冲区，防止文件内容被污染
ob_clean();
flush();
readfile($file);
exit;
}
?>
这段代码里，ob_clean()和flush()非常关键，如果不清缓冲，文件前面可能混入PHP警告信息或BOM头，导致文件损坏，我把这个放第一位,是因为多数简单的下载需求用它就够了。
cURL 拉取远程文件并流转
文件不在本机，而是在另一个服务器或云存储上（比如简米云OSS）,这时候用cURL是首选。
<?php
$remoteFile = 'https://your-bucket.oss-cn-hangzhou.aliyuncs.com/reports/2026.pdf';
set_time_limit(0); // 防止大文件下载超时
$fp = fopen('php://output', 'w');
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $remoteFile);
curl_setopt($ch, CURLOPT_FILE, $fp);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, false);
curl_exec($ch);
curl_close($ch);
fclose($fp);
?>
你要注意，这里用CURLOPT_FILE直接把输出写到php://output，这就是浏览器的响应体，配合前面的header(),用户就能直接下载了。
X-SendFile 模块（Apache/Lighttpd）
如果文件特别大，比如好几个G的压缩包，PHP本身去读文件会占不少内存，行业共识认为，此时应该让Web服务器自己处理文件发送，PHP只管告诉服务器”把哪个文件发给谁”。
# Apache启用mod_xsendfile后
<?php
header('X-Sendfile: /var/www/html/private/bigfile.zip');
header('Content-Type: application/zip');
header('Content-Disposition: attachment; filename="bigfile.zip"');
exit;
?>
这个方案PHP进程几乎不占用内存，安全性也更好，因为文件可以放在Web根目录之外，很多网盘系统、视频站都在用这种方式。
php强制下载文件时如何正确设置响应头
刚才的代码里出现了很多header，很多人不明白为什么非得这么写,我拆开一个个说。
Content-Type 不能乱设
最常见的错误是使用application/octet-stream，这个确实万能，但它会让浏览器失去内联预览能力，如果你下载的是PDF或图片，想直接预览而不是下载，可以改用application/pdf或image/jpeg。
但如果你希望即使PDF也强制下载，那就必须用application/octet-stream，这里有个取舍问题,根据你业务实际需求来。
Content-Disposition 决定文件名和下载行为
这条header有两个关键部分：
attachment表示强制下载inline表示内联打开
Content-Disposition: attachment; filename="report_2026.pdf"还有一个细节：文件名带中文时经常乱码，这不是PHP的问题，是HTTP协议的头不支持非ASCII字符,你需要做URL编码：
$filename = '年度报告.pdf';
header('Content-Disposition: attachment; filename="' . $filename . '"; filename=UTF-8\'\'' . rawurlencode($filename));
双写filename是为了兼容老版本浏览器，filename是RFC 5987标准写法,新浏览器都认这个。
Content-Length 关乎下载进度
有了这个头，浏览器才能显示下载进度条，也才能做断点续传（和Range头配合），用filesize()获取真实字节数。
php下载大文件与常见问题处理
前面几种方式，细心的你可能发现了：readfile会把整个文件读进内存吗？不会，readfile本身是按块读写的，但如果你用了file_get_contents()再echo，那就是把整个文件吃进内存,服务器分分钟挂掉。
用fread循环输出防止内存溢出
大文件下载,更稳妥的姿势是手动循环：
<?php
$file = 'backup/large_archive.zip';
if (file_exists($file)) {
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="' . basename($file) . '"');
header('Content-Length: ' . filesize($file));
ob_clean();
flush();
$handle = fopen($file, 'rb');
while (!feof($handle)) {
// 每次输出1MB，循环读取
echo fread($handle, 1024 1024);
flush(); // 立即推送到浏览器
}
fclose($handle);
exit;
}
?>
这样即使文件有1GB，PHP进程的内存占用也就只有1MB左右，加上set_time_limit(0)防超时,基本就稳了。
断点续传：让用户下载失败不用从头再来
如果你的站提供大文件下载，断点续传几乎是刚需，实现思路是处理HTTP的Range头。
举个简单的多段下载基础版本，需要读取$_SERVER['HTTP_RANGE']，解析起始字节,然后定位到指定位置输出。
<?php
if (isset($_SERVER['HTTP_RANGE'])) {
$range = str_replace('bytes=', '', $_SERVER['HTTP_RANGE']);
$range = explode('-', $range);
$start = intval($range[0]);
$end = $range[1] ? intval($range[1]) : filesize($file) - 1;
header('HTTP/1.1 206 Partial Content');
header("Content-Range: bytes $start-$end/" . filesize($file));
header('Content-Length: ' . ($end - $start + 1));
fseek($handle, $start);
// 输出指定范围的数据...
}
?>
具体完整代码有点长，但逻辑就是：用户发送Range头（比如bytes=1024-），服务器返回206状态码，并输出从偏移量开始的数据，这样下载中断后，客户端可以接着下,不用重头再来。
权限控制不能只在PHP里做
经常有人说”我PHP里已经判断了登录才能下载，为什么文件还能被直接访问？”很简单，你把文件放在Web根目录下了,人家直接访问URL就能拿到。
正确做法是把文件放在Web根目录之外（比如/var/www/private_files/），PHP脚本通过内部路径去读取，或者利用前面提到的X-Sendfile，这样即使别人猜到文件名,也没法直接访问。
下载文件名乱码的终极解决方案
刚才在响应头里已说过filename写法,还有一招是把文件名做base64编码放在header里，
$encoded = base64_encode($filename);
header("Content-Disposition: attachment; filename=" . $encoded);
不过目前rawurlencode的方式在Chrome、Firefox、Edge上表现都稳定,优先用那个就行。
php下载文件时如何避免安全隐患
安全这块你必须绷紧一根弦，如果有用户传入文件名，比如download.php?file=../../etc/passwd，你直接用了$_GET['file']去拼接路径,网站就算交代了。
核心原则只有一条：不信任任何用户输入，路径必须是内部映射的,或者经过严格白名单校验。
用ID映射：
<?php
$fileMap = [
1 => '/var/www/files/contract_template.docx',
2 => '/var/www/files/user_manual.pdf',
3 => '/var/www/files/installer.zip'
];
$id = intval($_GET['id'] ?? 0);
if (!isset($fileMap[$id])) {
http_response_code(404);
exit('文件不存在');
}
$file = $fileMap[$id];
// 继续下载流程...
?>
还有一种校验方式用realpath()检查解析后的路径是否在允许的目录下。
常见问题解答
使用php下载文件时，为什么下载下来的文件大小为0或无法打开？
文件大小为0，多数情况是readfile()前没有执行ob_clean()，导致输出缓冲区残留内容污染了文件流，另一个常见原因是脚本在发送header之前有输出（比如空格、BOM头、报错信息），服务器报”Cannot modify header information”，解决方案是在文件开头去掉?>闭标签，并确认没有多余空格，文件无法打开，大概率是Content-Type设置错误，下载的docx文件却用文本类型传输,后缀和内容不匹配。
php下载大文件与直接读文件相比哪个更节省服务器内存？
php下载大文件采用fread分块读取方式，理论上内存占用是恒定的，与文件大小无关，直接用file_get_contents读取整个文件再输出，内存占用与文件大小成正比，对服务器压力更大，因此生产环境中下载大文件应使用分块读取或X-Sendfile。
用户看不到PHP下载文件的进度条是怎么回事？
进度条依赖Content-Length响应头，如果这个响应头缺失，浏览器的下载进度条会变成不确定状态或直接不显示，如果你用cURL中转下载远程文件，而没有在输出前设置header('Content-Length: ' . $remoteSize)，浏览器同样无法显示进度，获取远程文件大小可以用curl_getinfo($ch, CURLINFO_CONTENT_LENGTH_DOWNLOAD)。
回到开头那个问题，PHP下载文件本身不难，难的是在大文件、断点续传、权限校验、安全防护这些真实场景下把细节做对，先把基础版跑通，再按需叠加机制,你的下载功能就能应对大多数生产环境了。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/787257.html
