小明：嘿，李老师，我最近在做研究生综合管理系统的开发，遇到了一个关于“下载”功能的问题，能帮我看看吗？
李老师：当然可以。你具体遇到什么问题了？
小明：我在设计系统时，需要实现一个用户上传文件后，其他用户可以下载的功能。但是不知道怎么处理权限和安全性的问题。
李老师：这是一个常见的需求。首先，你需要考虑的是如何存储文件，以及如何控制访问权限。
小明：对，那我应该用什么方式来存储文件呢？是直接存数据库还是用文件系统？
李老师：一般来说，建议使用文件系统或者云存储（如阿里云OSS、AWS S3），这样性能更好，也更易于扩展。不过，数据库也可以用来存储小文件，比如图片、PDF等。
小明：明白了。那我先用本地文件系统来测试一下吧。那在Spring Boot中，怎么实现下载功能呢？
李老师：你可以用Spring MVC来实现。创建一个Controller，接收用户的请求，然后从文件系统中读取文件，返回给客户端。
小明：那具体的代码是什么样的？能不能给我看一下示例？
李老师：好的，下面是一个简单的例子：
@RestController
public class FileDownloadController {
private final String FILE_PATH = "C:/upload/";
@GetMapping("/download/{fileName}")
public ResponseEntity
try {
Path path = Paths.get(FILE_PATH + fileName);
byte[] fileBytes = Files.readAllBytes(path);
HttpHeaders headers = new HttpHeaders();
headers.setContentType(MediaType.APPLICATION_OCTET_STREAM);
headers.setContentDispositionFormData("attachment", fileName);
return new ResponseEntity<>(fileBytes, headers, HttpStatus.OK);
} catch (IOException e) {
return new ResponseEntity<>(HttpStatus.NOT_FOUND);
}
}
}
小明：这个代码看起来挺简单的。但这样会不会有安全问题？比如用户可以随意访问文件？
李老师：确实，这样的代码没有权限控制。所以你需要在下载之前验证用户是否有权限访问该文件。
小明：那怎么验证权限呢？是不是需要结合Spring Security？
李老师：没错，你可以使用Spring Security来限制访问。例如，检查用户是否登录，并且是否拥有下载该文件的权限。
小明：那具体怎么实现呢？有没有示例代码？
李老师：我们可以添加一个权限校验逻辑，比如在Controller中调用一个方法来判断用户是否有权限。
@RestController
public class FileDownloadController {
private final String FILE_PATH = "C:/upload/";
private final UserService userService;
public FileDownloadController(UserService userService) {
this.userService = userService;
}
@GetMapping("/download/{fileName}")
public ResponseEntity
// 获取当前用户
String username = principal.getName();
// 检查用户是否有权限下载该文件
if (!userService.hasAccessToDownload(username, fileName)) {
return new ResponseEntity<>(HttpStatus.FORBIDDEN);
}
try {
Path path = Paths.get(FILE_PATH + fileName);
byte[] fileBytes = Files.readAllBytes(path);
HttpHeaders headers = new HttpHeaders();
headers.setContentType(MediaType.APPLICATION_OCTET_STREAM);
headers.setContentDispositionFormData("attachment", fileName);
return new ResponseEntity<>(fileBytes, headers, HttpStatus.OK);
} catch (IOException e) {
return new ResponseEntity<>(HttpStatus.NOT_FOUND);
}
}
}
小明：这代码看起来不错。那UserService中的hasAccessToDownload方法是怎么实现的？
李老师：这取决于你的业务逻辑。比如，你可以维护一个文件与用户之间的关系表，记录哪些用户可以下载哪些文件。
小明：明白了。那如果我想让文件下载支持分页或者分块下载呢？
李老师：如果你要处理大文件，可以考虑使用HTTP Range请求，也就是分块下载。Spring MVC本身支持这种机制。
小明：那具体怎么实现呢？有没有相关代码？
李老师：下面是一个支持分块下载的示例代码：
@RestController
public class FileDownloadController {
private final String FILE_PATH = "C:/upload/";
private final UserService userService;
public FileDownloadController(UserService userService) {
this.userService = userService;
}
@GetMapping("/download/{fileName}")
public ResponseEntity
// 验证权限
String username = principal.getName();
if (!userService.hasAccessToDownload(username, fileName)) {
return new ResponseEntity<>(HttpStatus.FORBIDDEN);
}
try {
Path path = Paths.get(FILE_PATH + fileName);
long fileSize = Files.size(path);
// 处理分块下载
String rangeHeader = request.getHeader("Range");
if (rangeHeader != null && rangeHeader.startsWith("bytes=")) {
String[] ranges = rangeHeader.substring(6).split("-");
long start = Long.parseLong(ranges[0]);
long end = ranges.length > 1 ? Long.parseLong(ranges[1]) : fileSize - 1;
if (start > fileSize || end > fileSize) {
return new ResponseEntity<>(HttpStatus.BAD_REQUEST);
}
long length = end - start + 1;
byte[] fileBytes = Files.readAllBytes(path);
byte[] chunk = Arrays.copyOfRange(fileBytes, (int) start, (int) end + 1);
HttpHeaders headers = new HttpHeaders();
headers.setContentType(MediaType.APPLICATION_OCTET_STREAM);
headers.setContentDispositionFormData("attachment", fileName);
headers.setContentRange("bytes " + start + "-" + end + "/" + fileSize);
headers.setContentLength(length);
return new ResponseEntity<>(chunk, headers, HttpStatus.PARTIAL_CONTENT);
} else {
byte[] fileBytes = Files.readAllBytes(path);
HttpHeaders headers = new HttpHeaders();
headers.setContentType(MediaType.APPLICATION_OCTET_STREAM);
headers.setContentDispositionFormData("attachment", fileName);
headers.setContentLength(fileSize);
return new ResponseEntity<>(fileBytes, headers, HttpStatus.OK);
}
} catch (IOException e) {
return new ResponseEntity<>(HttpStatus.NOT_FOUND);
}
}
}
小明：这段代码看起来很强大，能处理大文件的下载。那我还需要注意什么呢？
李老师：除了权限控制和分块下载外，还要注意文件路径的安全性，防止路径遍历攻击（Path Traversal）。比如，不要让用户直接输入文件名，而是通过预定义的文件列表来获取文件。
小明：明白了。那我现在应该怎么做呢？
李老师：你可以先搭建一个基本的Spring Boot项目，然后按照上面的代码逐步实现下载功能。同时，确保你的权限控制逻辑完善，避免未授权访问。
小明：谢谢您，李老师！这对我帮助很大。
李老师：不客气，有问题随时来问我。祝你项目顺利！