PHP : assurer le download d'un fichier

Introduction

Il est parfois utile dans ses scripts de passer au delà des 'mime type' par défaut pour permettre le téléchargement d'un fichier, afin que l'internaute n'ait plus qu'à nommer le fichier pour l'enregistrer.

Décomposition des actions

Afin de réaliser ce traitement, il faut :

• s'assurer que le fichier demandé est correct et n'offre pas la possibilité de télécharger des fichiers protégés du système,
• envoyer des entêtes http indiquant que c'est du download et précisant aussi un nom de fichier par défaut,
• d'envoyer le contenu du fichier.

Mon hypothèse de travail

Tous les fichiers qui peuvent être téléchargés sont dans le sous-dossier TELECHARGE du dossier contenant le script.

Toutes tentatives de détournement entraînera une erreur chez l'internaute

Du concret !!!

Trêve de blabla, on y va. Le script considère que le nom du fichier à télécharger est passé via un get dans la variable f.

if ( !array_key_exists( 'f', $_GET ) )
	die( 'y a un problème' ) ;
// protection sommaire mais efficace contre .. et /
$bf = str_replace( '/', '_', $_GET['f'] ) ;
$file = 'TELECHARGE/'.$bf ;
header( 'Content-type: application/octet-stream' ) ;
header( 'Content-Disposition: attachment; filename="'.$bf.'"' ) ;
header( 'Content-Length: '.filesize( $file ) ) ;
readfile( $file ) ;

Un script identique est utilisé sur ce site lorsque vous rencontrez une petite disquette...