PHP - 如何在内容处置中设置完整目录路径？

Question

我正在将文件名传递到下载页面。
ie somefile.xls

下载页面将完整目录路径添加回文件名中。
ie c:\temp\somefile.xls

问题是现在设置标头的“Content-Disposition”不起作用。它要下载的文件名是完整的目录文件名路径。 ie c_temp_somefile

Content-Disposition 可以处理完整路径吗？

如果可以，我如何让我的脚本正确下载文件？

代码是：

$myad = $_GET['myad'];
$glob_string =  realpath('/foldera/folderb/folderc'). DIRECTORY_SEPARATOR .$myad;

header('Content-Type: application/excel');
$headerstring = 'Content-Disposition: attachment; filename='.$glob_string;
header($headerstring);
readfile($myad);

更新代码（来自答案）：

$myad = $_GET['myad'];
$glob_string =  realpath('/mit/mit_tm/mrl_bol'). DIRECTORY_SEPARATOR .$myad;

header('Content-Type: application/excel');
$headerstring = 'Content-Disposition: attachment; filename='.$myad;
header($headerstring);
readfile($glob_string);    

Answer 1

不要通过标头字符串传递完整路径，而是使用基本名称 ($myad)。

您确实应该对 $_GET['myad'] 使用更好的验证，因为您的脚本会将任意路径传递给用户（readfile() 获取未经过滤的用户输入） 。这是一个安全漏洞！

使用realpath计算真实路径，确保文件位于允许的文件夹内，然后在完整路径上使用basename()来获取纯文件名。通过 Content-Disposition 标头传递此子字符串，但使用 readfile() 的真实路径。

---

更新：您更新的代码仍然包含安全漏洞。如果 $_GET['myad'] 包含 ../../../some/full/path，您的脚本会很乐意将任何请求的可读文件发送到客户端。

您应该使用类似于以下代码片段的内容：

$myad = $_GET['myad'];

$rootDir = realpath('/mit/mit_tm/mrl_bol');
$fullPath = realpath($rootDir . '/' . $myad);

// Note that, on UNIX systems, realpath() will return false if a path
// does not exist, but an absolute non-existing path on Windows.
if ($fullPath && is_readable($fullPath) && dirname($fullPath) === $rootDir) {
    // OK, the requested file exists and is in the allowed root directory.
    header('Content-Type: application/excel');
    // basename() returns just the file name.
    header('Content-Disposition: attachment; filename=' . basename($fullPath));
    readfile($fullPath);
}

Answer 2

您可以将几乎所有内容放入 Content-Disposition 标头中，但出于安全原因，大多数浏览器会忽略或替换路径，并将它们转换为适用于其运行的操作系统的有效文件名。

Content-Disposition 只是对浏览器的提示，Web 客户端并不强制遵守此设置。

因此，不，您不能强制下载到客户端计算机上的特定目录。

Answer 3

从来没有。如果浏览器接受完整路径，那么就需要快速提交错误：这将是一个主要的安全漏洞。

Answer 4

我不知道这是否有帮助，但我认为excel文档的内容类型标头可能不太正确，我自己没有尝试过，但是那些微软的软件包满嘴都是，比如mirosoft word是
<代码>application/vnd.openxmlformats-officedocument.wordprocessingml.document