我的 PHP 中的文件传输代码正确吗？

Question

我有这个 页面 应该是下载一首歌曲。下载对我来说在 Firefox 中有效，但在 chrome 和 safari 中没有任何反应。这是我的代码，

    public function download() {
    if (isset($this->request->get['order_download_id'])) {
        $order_download_id = $this->request->get['order_download_id'];
    } else {
        $order_download_id = 0;
    }
    $download_info = $this->db->query("SELECT * FROM " . DB_PREFIX . "order_download od LEFT JOIN `" . DB_PREFIX . "order` o ON (od.order_id = o.order_id) WHERE o.customer_id = '" . (int)$this->customer->getId(). "' AND o.order_status_id > '0' AND o.order_status_id = '" . (int)$this->config->get('config_download_status') . "' AND od.order_download_id = '" . (int)$order_download_id . "'");

    if ($download_info->row) {
        $file = DIR_DOWNLOAD . $download_info->row['filename'];
        $mask = basename($download_info->row['mask']);
        $mime = 'application/octet-stream';
        $encoding = 'binary';

        if (!headers_sent()) {
            if (file_exists($file)) {
                header('Pragma: public');
                header('Expires: 0');
                header('Content-Description: File Transfer');
                header('Content-Type: ' . $mime);
                header('Content-Transfer-Encoding: ' . $encoding);
                header('Content-Disposition: attachment; filename="' . ($mask ? $mask : basename($file)) . '"');
                header('Content-Length: ' . filesize($file));
                $file = readfile($file, 'rb');
                print($file);
            } else {
                exit('Error: Could not find file ' . $file . '!');
            }
        } else {
            exit('Error: Headers already sent out!');
        }
    }
}

我尝试了各种不同的方法来使其工作，但在两个浏览器中没有发生任何事情...任何想法或帮助都将是赞赏...

Answer 1

readfile 返回发送的字节数，不需要打印出来。您应该删除行 print($file);。否则，您发送的字节数将多于 Content-Length 标头指定的字节数，这将导致某些 HTTP 客户端丢弃您的答案。

另外，请考虑奇怪的文件名，例如

"\r\nLocation: http://evil.com\r\n\r\n<script>alert('XSS');</script>

您是否正确处理该文件名？

Answer 2

查看附近的语法

header('Content-Disposition: attachment; filename="'.$file_name_with_space. '"');

，或者它可以是

header("Content-Disposition: attachment; filename='".$file_name_with_space."'" );

这里的游戏仅用引号括起来，如果编写正确，它会被视为字符串的一部分，否则会崩溃。

它适用于所有浏览器。 IE、FF、Chrome、SAFARI 我亲自检查过，所以继续。