Fastify 是一个快速、低开销并且可扩展的 Node.js Web 框架。它的设计注重性能和安全，并且提供了许多内置的插件和工具，使得开发 Web 应用程序变得更加容易。在 Fastify 应用程序中，处理文件下载是一个常见的需求。在本篇文章中，我们将会提供一个完整的指南，帮助你在 Fastify 应用程序中处理文件下载。
1. 为什么需要处理文件下载？
在 Web 应用程序中，文件下载是一项很常见的操作。通过文件下载，用户可以方便地获取你的应用程序中的资源或者数据。例如，你的网站可能提供了一些 PDF 文件或者图片，用户可以通过下载这些文件来获取它们。另外，文件下载也经常用于导出数据，例如 CSV 文件或者 Excel 文件。
2. Fastify 中的文件下载
Fastify 提供了一个内置的 send 方法，可以用于发送文件到客户端。send 方法的基本用法如下：
reply.send(fs.createReadStream('path/to/file'))在这个例子中，我们使用 fs 模块的 createReadStream 方法来读取文件，并将其传递给 send 方法。send 方法会自动地将文件发送到客户端。但是，这种方式并不是最佳实践，因为它没有考虑性能和安全问题。
下面，我们将会介绍一些更好的方式来处理文件下载。
3. 使用 Fastify 的 Reply Object
在 Fastify 中，可以使用 reply 对象来向客户端发送响应。reply 对象提供了一些有用的方法，可以用于处理文件下载。其中最常用的方法是 sendFile 方法。
sendFile 方法的基本用法如下：
reply.sendFile('path/to/file')在这个例子中，我们使用 sendFile 方法来发送文件到客户端。sendFile 方法会自动处理文件的缓存和压缩，并且可以设置一些选项来控制文件下载的行为。例如，可以设置文件的 MIME 类型、文件名、缓存时间等等。
sendFile 方法还有一些高级选项，可以用于处理大文件、断点续传、多线程下载等等。这些选项需要根据具体情况来设置，我们在后面的章节中会详细介绍。
4. 处理文件下载的安全问题
在处理文件下载时，安全问题是一个非常重要的考虑因素。如果你不小心泄露了敏感文件，可能会导致严重的后果。因此，在处理文件下载时，你需要采取一些措施来保证安全。
下面是一些常见的安全措施：
4.1. 验证文件路径
在处理文件下载时，你需要验证文件路径是否合法。如果你直接从客户端传递文件路径，那么可能会导致路径遍历攻击。例如，如果客户端传递了一个类似 "../secret.txt" 的路径，那么可能会泄露敏感文件。
为了避免路径遍历攻击，你可以使用 path 模块的 normalize 方法来规范化路径，然后再验证路径是否在合法的范围内。例如，你可以将文件存储在一个特定的目录下，并且只允许下载这个目录下的文件。
// javascriptcn.com 代码示例
const path = require('path')
function isSafePath(filePath) {
const root = path.resolve(__dirname, 'public')
const resolvedPath = path.resolve(root, filePath)
return resolvedPath.startsWith(root)
}
function downloadFile(request, reply) {
const filePath = request.params.filePath
if (!isSafePath(filePath)) {
reply.code(403).send('Forbidden')
return
}
reply.sendFile(filePath)
}在这个例子中，我们使用 isSafePath 方法来验证文件路径是否合法。isSafePath 方法会将文件路径规范化，并检查路径是否在 public 目录下。如果路径不在 public 目录下，那么就返回 403 Forbidden 错误。
4.2. 防止目录遍历攻击
除了路径遍历攻击之外，还有一种叫做目录遍历攻击的攻击方式。在目录遍历攻击中，攻击者会试图通过修改 URL 参数来访问目录中的其他文件。例如，攻击者可能会试图通过访问 "/files/../../secret.txt" 来获取敏感文件。
为了防止目录遍历攻击，你可以使用 Fastify 的静态文件插件 fastify-static 来提供文件下载服务。fastify-static 插件会自动处理路径遍历和目录遍历攻击，并提供一些安全选项，例如缓存控制、文件压缩、文件类型检查等等。
// javascriptcn.com 代码示例
const fastify = require('fastify')()
fastify.register(require('fastify-static'), {
root: path.join(__dirname, 'public'),
prefix: '/files/',
serve: false,
list: false,
redirect: false,
setHeaders: (res, path) => {
res.setHeader('Cache-Control', 'public, max-age=3600')
}
})
fastify.get('/files/:filePath', (request, reply) => {
reply.sendFile(request.params.filePath)
})
fastify.listen(3000)在这个例子中，我们使用 fastify-static 插件来提供文件下载服务。我们将 public 目录作为根目录，并将 URL 前缀设置为 /files/。fastify-static 插件会自动处理路径遍历和目录遍历攻击，并设置缓存控制头来提高性能。
4.3. 防止恶意文件下载
最后，你需要防止恶意文件下载。在处理文件下载时，你需要验证文件类型，并防止下载恶意文件，例如病毒、木马等等。为了防止恶意文件下载，你可以使用一些第三方的模块来检查文件类型，例如 file-type、mime-types 等等。
// javascriptcn.com 代码示例
const fileType = require('file-type')
function isSafeFile(filePath) {
const buffer = fs.readFileSync(filePath)
const type = fileType(buffer)
return type && type.mime.startsWith('image/')
}
function downloadImage(request, reply) {
const filePath = request.params.filePath
if (!isSafePath(filePath) || !isSafeFile(filePath)) {
reply.code(403).send('Forbidden')
return
}
reply.sendFile(filePath)
}在这个例子中，我们使用 isSafeFile 方法来验证文件类型是否安全。isSafeFile 方法会读取文件内容，并使用 file-type 模块来检查文件类型。如果文件类型不是图片类型，那么就返回 403 Forbidden 错误。
5. 处理大文件下载
在处理文件下载时，你可能会遇到大文件下载的问题。如果你直接使用 send 方法或者 sendFile 方法来发送大文件，那么可能会导致内存溢出或者阻塞。为了解决这个问题，你需要使用流来处理文件下载。
流是 Node.js 中的一个重要概念，它可以让你以流式方式读取和写入数据。在处理文件下载时，你可以使用流来逐块地读取文件，并将数据发送到客户端。
下面是一个使用流来处理文件下载的例子：
// javascriptcn.com 代码示例
function downloadFile(request, reply) {
const filePath = request.params.filePath
const stream = fs.createReadStream(filePath)
stream.on('error', (err) => {
reply.code(404).send('Not Found')
})
reply.type('application/octet-stream')
reply.send(stream)
}在这个例子中，我们使用 fs 模块的 createReadStream 方法来创建一个文件读取流。然后，我们将文件读取流传递给 reply 对象的 send 方法。reply 对象会自动将流发送到客户端，并设置正确的 MIME 类型。
6. 处理断点续传
断点续传是一个非常有用的功能，它可以让用户在下载大文件时暂停和恢复下载。在处理断点续传时，你需要在 HTTP 响应头中设置 Accept-Ranges 和 Content-Range 头，并在 HTTP 请求头中设置 Range 头。
下面是一个处理断点续传的例子：
// javascriptcn.com 代码示例
function downloadFile(request, reply) {
const filePath = request.params.filePath
const fileSize = fs.statSync(filePath).size
const range = request.headers.range
if (range) {
const [start, end] = range.replace('bytes=', '').split('-')
const startByte = parseInt(start, 10)
const endByte = end ? parseInt(end, 10) : fileSize - 1
const chunkSize = endByte - startByte + 1
const stream = fs.createReadStream(filePath, { start: startByte, end: endByte })
reply.code(206)
reply.header('Content-Range', `bytes ${startByte}-${endByte}/${fileSize}`)
reply.header('Accept-Ranges', 'bytes')
reply.header('Content-Length', chunkSize)
reply.type('application/octet-stream')
reply.send(stream)
} else {
const stream = fs.createReadStream(filePath)
reply.type('application/octet-stream')
reply.send(stream)
}
}在这个例子中，我们首先获取文件的大小，并检查 HTTP 请求头中是否包含 Range 头。如果包含 Range 头，那么就使用 fs 模块的 createReadStream 方法创建一个文件读取流，并设置读取流的起始和结束位置。然后，我们在 HTTP 响应头中设置 Accept-Ranges 和 Content-Range 头，并设置响应状态码为 206 Partial Content。最后，我们将文件读取流传递给 reply 对象的 send 方法。
7. 处理多线程下载
多线程下载是一个提高下载速度的好方法。在处理多线程下载时，你需要在 HTTP 响应头中设置 Content-Length 头，并在 HTTP 请求头中设置 Range 头。然后，客户端可以同时下载多个文件块，并将它们组合起来。
下面是一个处理多线程下载的例子：
// javascriptcn.com 代码示例
function downloadFile(request, reply) {
const filePath = request.params.filePath
const fileSize = fs.statSync(filePath).size
const range = request.headers.range
if (range) {
const [start, end] = range.replace('bytes=', '').split('-')
const startByte = parseInt(start, 10)
const endByte = end ? parseInt(end, 10) : fileSize - 1
const chunkSize = endByte - startByte + 1
const stream = fs.createReadStream(filePath, { start: startByte, end: endByte })
reply.code(206)
reply.header('Content-Length', chunkSize)
reply.header('Content-Range', `bytes ${startByte}-${endByte}/${fileSize}`)
reply.header('Accept-Ranges', 'bytes')
reply.type('application/octet-stream')
reply.send(stream)
} else {
reply.header('Content-Length', fileSize)
const stream = fs.createReadStream(filePath)
reply.type('application/octet-stream')
reply.send(stream)
}
}在这个例子中，我们首先获取文件的大小，并检查 HTTP 请求头中是否包含 Range 头。如果包含 Range 头，那么就使用 fs 模块的 createReadStream 方法创建一个文件读取流，并设置读取流的起始和结束位置。然后，我们在 HTTP 响应头中设置 Content-Length 头，并设置响应状态码为 206 Partial Content。最后，我们将文件读取流传递给 reply 对象的 send 方法。
8. 总结
在本篇文章中，我们提供了一个完整的指南，帮助你在 Fastify 应用程序中处理文件下载。我们介绍了 Fastify 中的 Reply Object、处理文件下载的安全问题、处理大文件下载、处理断点续传和处理多线程下载。希望这篇文章能够帮助你更好地处理文件下载，提高应用程序的性能和安全性。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/657bfd14d2f5e1655d6b59c9