Laravel 文件下载权限控制全面指南-优快云博客

本文链接：https://blog.youkuaiyun.com/jjj_web/article/details/148963349

Laravel 文件下载权限控制全面指南

在 Laravel 中实现安全的文件下载权限控制是保护敏感数据的关键。以下是几种高效且安全的实现方式：

1. 基础权限控制方案

存储配置（config/filesystems.php）

'private' => [
    'driver' => 'local',
    'root' => storage_path('app/private'),
    'visibility' => 'private',  // 重要：设置为私有
],

控制器基础实现

use Illuminate\Support\Facades\Storage;
use Illuminate\Support\Facades\Gate;

public function download($fileId)
{
    $file = File::findOrFail($fileId);
    
    // 方案1：简单权限检查
    if (!auth()->check()) {
        abort(403, '请登录后下载');
    }
    
    // 方案2：使用策略(Policy)
    if (Gate::denies('download', $file)) {
        abort(403, '无权访问此文件');
    }
    
    // 方案3：模型关联检查
    if ($file->user_id !== auth()->id()) {
        abort(403);
    }
    
    return Storage::disk('private')->download($file->path);
}

2. 高级权限控制策略

创建策略类

php artisan make:policy FilePolicy --model=File

定义策略规则（app/Policies/FilePolicy.php）

public function download(User $user, File $file)
{
    // 示例1：所有者检查
    $isOwner = $user->id === $file->user_id;
    
    // 示例2：角色检查
    $hasRole = $user->hasRole('premium');
    
    // 示例3：团队权限
    $inSameTeam = $user->team_id === $file->team_id;
    
    // 示例4：付费内容检查
    $hasPurchased = $file->purchases()->where('user_id', $user->id)->exists();
    
    return $isOwner || $hasRole || $inSameTeam || $hasPurchased;
}

路由中使用中间件

Route::get('/files/{file}/download', [FileController::class, 'download'])
    ->middleware(['auth', 'can:download,file']);

3. 安全下载实现方式

方案1：直接下载（适合小文件）

return Storage::disk('private')->download(
    $file->path,
    $file->original_name,  // 自定义下载文件名
    ['Content-Type' => $file->mime_type]
);

方案2：流式下载（适合大文件）

$stream = Storage::disk('private')->readStream($file->path);

return response()->stream(function() use ($stream) {
    fpassthru($stream);
}, 200, [
    'Content-Type' => $file->mime_type,
    'Content-Disposition' => 'attachment; filename="'.basename($file->original_name).'"',
]);

方案3：临时URL（适合云存储）

// 生成有时效的下载链接
$url = Storage::disk('s3')->temporaryUrl(
    $file->path,
    now()->addMinutes(30),
    ['ResponseContentDisposition' => 'attachment']
);

return redirect($url);

4. 下载限流保护

路由限流（throttle中间件）

Route::middleware('throttle:downloads')->group(function () {
    Route::get('/download/{file}', [FileController::class, 'download']);
});

自定义限流逻辑

// 在控制器中
$key = 'downloads:'.auth()->id();
$limit = 5; // 每小时限制

if (RateLimiter::tooManyAttempts($key, $limit)) {
    $seconds = RateLimiter::availableIn($key);
    abort(429, "请等待 {$seconds} 秒后再试");
}

RateLimiter::hit($key, 3600); // 1小时窗口

5. 下载日志与审计

记录下载活动

// 在下载方法中
ActivityLog::create([
    'user_id' => auth()->id(),
    'action' => 'file_download',
    'details' => [
        'file_id' => $file->id,
        'ip' => request()->ip(),
        'user_agent' => request()->userAgent()
    ]
]);

// 或使用观察者
class FileObserver
{
    public function downloaded(File $file)
    {
        $file->downloads()->create([
            'user_id' => auth()->id(),
            'downloaded_at' => now()
        ]);
    }
}

6. 前端集成方案

Blade模板中的权限检查

@can('download', $file)
    <a href="{{ route('files.download', $file) }}" class="btn btn-primary">
        下载文件
    </a>
@else
    <button class="btn btn-secondary" disabled>
        无下载权限
    </button>
    @if(!auth()->check())
        <a href="{{ route('login') }}">登录获取权限</a>
    @endif
@endcan

AJAX下载请求处理

axios.get('/download/' + fileId, {
    responseType: 'blob',
    headers: {
        'Authorization': 'Bearer ' + localStorage.getItem('token')
    }
}).then(response => {
    const url = window.URL.createObjectURL(new Blob([response.data]));
    const link = document.createElement('a');
    link.href = url;
    link.setAttribute('download', filename);
    document.body.appendChild(link);
    link.click();
});