在Nginx中使用X-Sendfile头提升PHP文件下载的性能（针对大文件下载）

很多时候用户需要从网站下载文件，如果文件是可以通过一个固定链接公开获取的，那么我们只需将文件存放到 webroot下的目录里就好。但大多数情况下，我们需要做权限控制，例如下载 pdf 账单，又例如下载网盘里的档案。这时，我们通常借助于脚本代码来实现，而这无疑会增加服务器的负担。

例如下面的代码：

<?php
  // 用户身份认证，若验证失败跳转
  authenticate();
  // 获取需要下载的文件，若文件不存在跳转
  $file = determine_file();
  // 读取文件内容
  $content=file_get_contents($file);
  // 发送合适的 http 头
  header("content-type: application/octet-stream");
  header('content-disposition: attachment; filename="' . basename($file) . '"');
  header("content-length: ". filesize($file));
  echo $content; // 或者 readfile($file);
?>

一、这样做有什么问题？

这样做意味着我们的程序需要将文件内容从磁盘经过一个固定的 buffer 去循环读取到内存，再发送给前端 web 服务器，最后才到达用户。当需要下载的文件很大的时候，这种方式将消耗大量内存，甚至引发 php 进程超时或崩溃。cache 也很头疼，更不用说中断重连的情况了。
一个理想的解决方式应该是，由 php 程序进行权限检查等逻辑判断，一切通过后，让前台的 web 服务器直接将文件发送给用户——像 nginx 这样的前台更善于处理静态文件。这样一来 php 脚本就不会被 i/o 阻塞了。

二、什么是 x-sendfile？

x-sendfile 是一种将文件下载请求由后端应用转交给前端 web 服务器处理的机制，它可以消除后端程序既要读文件又要处理发送的压力，从而显著提高服务器效率，特别是处理大文件下载的情形下。

x-sendfile 通过一个特定的 http header 来实现：在 x-sendfile 头中指定一个文件的地址来通告前端 web 服务器。当 web 服务器检测到后端发送的这个 header 后，它将忽略后端的其他输出，而使用自身的组件（包括 缓存头 和 断点重连 等优化）机制将文件发送给用户。

不过，在使用 x-sendfile 之前，我们必须明白这并不是一个标准特性，在默认情况下它是被大多数 web 服务器禁用的。而不同的 web 服务器的实现也不一样，包括规定了不同的 x-sendfile 头格式。如果配置失当，用户可能下载到 0 字节的文件。

使用 x-sendfile 将允许下载非 web 目录中的文件（例如/root/），即使文件在 .htaccess 保护下禁止访问，也会被下载。

不同的 web 服务器实现了不同的 http 头

sendfile 头	使用的 web 器
x-sendfile	apache, lighttpd v1.5, cherokee
x-lighttpd-send-file	lighttpd v1.4
x-accel-redirect	nginx, cherokee

使用 x-sendfile 的缺点是你失去了对文件传输机制的控制。例如如果你希望在完成文件下载后执行某些操作，比如只允许用户下载文件一次，这个 x-sendfile 是没法做到的，因为后台的 php 脚本并不知道下载是否成功。

三、怎样使用？

apache 请参考mod_xsendfile模块。下面我介绍 nginx 的用法。

nginx 默认支持该特性，不需要加载额外的模块。只是实现有些不同，需要发送的 http 头为 x-accel-redirect。另外，需要在配置文件中做以下设定

location /protected/ {
 internal;
 root  /some/path;
}

表示这个路径只能在 nginx 内部访问，不能用浏览器直接访问防止未授权的下载。

于是 php 发送 x-accel-redirect 给 nginx：

]<?php
  $filepath = '/protected/iso.img';
  header('content-type: application/octet-stream');
  header('content-disposition: attachment; filename="' . basename($file) . '"');
  //让xsendfile发送文件
  header('x-accel-redirect: '.$filepath);
?>

这样用户就会下载到 /some/path/protected/iso.img 这个路径下的文件。
如果你想发送的是 /some/path/iso.img 文件，那么 nginx 配置应该是

location /protected/ {
 internal;
 alias  /some/path/; # 注意最後的斜杠
}