PHP伪装MP4下载的实现方法

来到golang学习网的大家，相信都是编程学习爱好者，希望在这里学习文章相关编程知识。下面本篇文章就来带大家聊聊《PHP伪装成MP4下载的技巧方法》，介绍一下，希望对大家的知识积累有所帮助，助力实战开发！

PHP脚本返回MP4时浏览器播放而非下载，因Content-Type为video/mp4且缺Content-Disposition: attachment；强制下载需设置正确响应头、禁缓存、清输出缓冲并用readfile()输出后exit。

PHP 脚本返回 MP4 文件时浏览器不下载而是播放

直接访问 video.php 时浏览器自动播放而非下载，本质是响应头没控制好 MIME 类型和下载行为。PHP 本身不决定“是否下载”，真正起作用的是 Content-Type 和 Content-Disposition 响应头。

• Content-Type: video/mp4 会让浏览器尝试内建播放器渲染（尤其 Chrome/Firefox）
• 必须显式设置 Content-Disposition: attachment; filename="xxx.mp4" 才能触发下载
• 如果 PHP 脚本里用了 readfile() 但没关缓存、没清输出缓冲，可能被截断或附加额外字符，导致 MP4 解析失败

用 PHP 输出真实 MP4 文件并强制下载的最小安全写法

核心是：关缓存、设对头、读文件、退出。不要 echo 任何东西，不要有 BOM，不要在 readfile() 后再输出。

header('Content-Type: video/mp4');
header('Content-Disposition: attachment; filename="demo.mp4"');
header('Content-Length: ' . filesize('/path/to/real-video.mp4'));
header('Cache-Control: no-cache');
header('Pragma: no-cache');
ob_end_clean(); // 清掉之前所有输出缓冲
readfile('/path/to/real-video.mp4');
exit;

为什么不能简单改 URL 后缀为 .mp4

只把 video.php 改成 video.mp4 并不能让 PHP 运行——除非 Web 服务器（如 Apache/Nginx）明确配置了让 .mp4 后缀走 PHP 解析器，这既危险又反模式：

• Apache 需加 AddHandler application/x-httpd-php .mp4，会暴露 PHP 解析漏洞风险
• Nginx 需配 location ~ \.mp4$ { fastcgi_pass ... }，同样破坏静态资源直出逻辑
• CDN 或代理层可能直接缓存并返回空响应，因为它们默认信任 .mp4 是静态二进制

更稳妥的伪装方式：用重写 + 真实 PHP 处理

保留 .php 后缀的逻辑，但 URL 看起来像 MP4，靠 Web 服务器重写隐藏真实路径。例如 Nginx 中：

location /videos/(\w+)\.mp4$ {
    alias /var/www/php-proxy.php;
    args "";
}

然后在 php-proxy.php 中解析 $_SERVER['REQUEST_URI'] 提取 ID，查数据库或拼路径，再按上文方式输出真实 MP4。这样 URL 是 /videos/abc123.mp4，实际走 PHP，但无后缀欺骗风险。

注意：alias 指向 PHP 文件时，Nginx 不会自动传 PATH_INFO，得手动解析 URI；Apache 则可用 RewriteRule ^/videos/(.*)\.mp4$ /proxy.php?id=$1 [L] 更清晰。

好了，本文到此结束，带大家了解了《PHP伪装MP4下载的实现方法》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！