Java文件下载核心是设置Content-Disposition为attachment并指定文件名，配合Content-Type和流式传输，同时严格校验路径防遍历与越权。
Java项目中添加文件下载功能，核心是让服务器正确响应HTTP请求，把文件内容以合适的方式传给浏览器，并提示用户保存。关键不在于“怎么读文件”，而在于“怎么告诉浏览器这是个要下载的文件”。
设置正确的响应头
浏览器是否弹出下载框，主要看Content-Disposition响应头。必须显式声明为attachment，并附上建议的文件名：
- Content-Type：尽量设为application/octet-stream（通用二进制流），避免浏览器尝试解析或渲染；若明确类型（如PDF、Excel），也可用application/pdf等，但不强制影响下载行为
- Content-Disposition：必须包含attachment; filename="xxx.pdf"；注意中文文件名需用filename*=UTF-8''xxx.pdf方式编码，防止乱码
- Content-Length（可选但推荐）：写入文件大小，有助于浏览器显示进度条
流式写出文件内容，避免内存溢出
不要把整个文件读进内存再写出去，尤其面对大文件（如100MB日志、视频片段）。应使用InputStream → OutputStream直接管道传输：
- 用Files.newInputStream()或new FileInputStream()打开源文件
- 从HttpServletResponse.getOutputStream()获取输出流
- 用IOUtils.copy()（Apache Commons IO）或Files.copy()（JDK7+）完成流复制
- 务必finally块中关闭输入流，输出流由容器管理，一般不手动关
安全控制：禁止路径遍历与越权访问
用户传来的文件名不能直接拼路径，否则可能触发../etc/passwd这类攻击：
情感家园企业站5.0 多语言多风格版
下载
一套面向小企业用户的企业网站程序！功能简单，操作简单。实现了小企业网站的很多实用的功能，如文章新闻模块、图片展示、产品列表以及小型的下载功能，还同时增加了邮件订阅等相应模块。公告，友情链接等这些通用功能本程序也同样都集成了！同时本程序引入了模块功能，只要在系统默认模板上创建模块，可以在任何一个语言环境（或任意风格）的适当位置进行使用！
立即学习“Java免费学习笔记（深入）”；
- 只允许访问预设目录（如/WEB-INF/downloads/），所有文件路径必须基于该根目录构建
- 对用户传参的文件名做白名单校验：仅保留字母、数字、下划线、短横线、点号；或用FilenameUtils.getName()提取纯文件名，丢弃路径部分
- 敏感文件（如配置文件、数据库备份）不应放在可下载路径下；权限控制建议结合登录态和业务规则（如“只有订单创建人才能下载对应发票”）
常见场景补充说明
实际开发中常遇到几种典型需求：
- 动态生成文件再下载：如导出Excel报表，用Apache POI生成ByteArrayOutputStream，再转为ByteArrayInputStream写入响应流
- 断点续传支持：需处理Range请求头，返回206 Partial Content，适用于大文件分片下载（如视频）
- 前端触发方式：普通链接即可；如需带参数或POST请求，可用fetch + Blob + URL.createObjectURL()或隐藏提交
基本上就这些。不复杂但容易忽略细节——尤其是响应头和路径校验，线上出问题往往就在这两处。
