Переопределить JSON-кодирование в REST API

Question 1

Я пытаюсь создать плагин для безопасной загрузки.

Я нашел API REST как лучший вариант для этой задачи, но не могу изменить заголовки, такие как Content-Type:. В коллбэке register_rest_route эти заголовки уже установлены.
Если я установлю Content-disposition: attachment, filename=asd.txt, я получаю ERR_RESPONSE_HEADERS_MULTIPLE_CONTENT_DISPOSITION в Chrome.

Я знаю, что REST не предназначен для выполнения этих задач, но я не смог найти альтернатив. Если они есть, пожалуйста, сообщите мне об этом.

Похоже, данные загружаются в формате JSON.

Я устал от “магии” WordPress. Эти задачи были бы такими простыми, если бы использовался чистый PHP, но WordPress только усложняет всё.

Пожалуйста, кто-нибудь скажите мне, как отключить эти магические заголовки *** или порекомендуйте способ для безопасных (PHP) загрузок в моем плагине.

(Нет, я не хочу использовать сторонние плагины. Я пробовал многие из них. Ни один из них пока не сработал… 😀 Весь этот WordPress — это огромный шаг назад после Symfony…)

Вот мой экспериментальный код:

add_action('rest_api_init', function() {
    register_rest_route('secure-downloads/v1', '/download/(?P<filename>.*)', 
    array(
        'methods' => 'GET',
        'callback' => 'secure_downloads_handle_download'
    ));
});
function secure_downloads_handle_download(WP_REST_Request $request)
{
    $filename = urldecode($request->offsetGet('filename'));
    if(strpos($filename, '/..'))
    {
        return new WP_REST_Response('', 403);
    }
    $path = SECURE_DOWNLOADS_UPLOAD_DIR . $filename;
    return new WP_REST_Response(file_get_contents($path), 200, array(
        'Content-Type' => 'application/octet-stream',
        'Content-Transfer-Encoding' => 'Binary',
        'Content-disposition' => 'attachment, filename=\\' . $filename . '\\'
    ));
}

Question 2

Должно быть достаточно добавить поле Content-Disposition.

Но конкретно это Content-Disposition, а не Content-disposition

Я также добавил бы некоторую проверку вашего параметра filename, который передается в file_get_contents, чтобы убедиться, что он существует и является допустимым. В противном случае вы можете быть уязвимы для атак обхода каталогов или удаленных запросов URL.

Question 3

Вот что я выяснил:

Ошибка ERR_RESPONSE_HEADERS_MULTIPLE_CONTENT_DISPOSITION была вызвана неправильным составлением заголовка Content-Disposition. Вот правильный:

array(
    'Content-Disposition' => 'attachment; filename="' . $filename . '"'
)

Обратите внимание на точку с запятой после attachment, двойные кавычки вокруг имени файла и заглавную D в слове disposition, как указал @Tom J Nowell.

Это решило проблему с заголовками, но WP_REST_Response все равно выводит файлы, как если бы они были закодированы в формате JSON. Поэтому я пошел традиционным путем:

header('Content-Disposition: attachment; filename="' . $filename . '"');
header('Content-Type: application/octet-stream');
readfile($path);
exit;

Question 4

Существует хук именно для этой ситуации, который позволяет избежать преждевременного завершения выполнения скрипта и отражает обработку WP-запросов методом HEAD.
Разместите что-то подобное этому в конце вашей функции обработчика REST-ответа:

...

add_filter(
    'rest_pre_serve_request',
    function($served, $result, $request, $rest_server) use ($path) {
        if (!$served) { # убедитесь, что запрос еще не был обработан
            $served = true;
            if ('HEAD' !== $request->get_method()) {
                # выводите содержимое вашего ответа здесь, но не возвращайте или не завершайте
                readfile($path);
            }
        }
        return $served;
    },
    1, # измените приоритет по необходимости
    4
);

$result = new WP_REST_Response();
$result->set_headers([
    'Content-Type' => mime_content_type($path),
    'Content-Length' => filesize($path),
    ...
]);
return $result;

Переопределить JSON-кодирование в REST API

Вопрос или проблема

Ответ или решение

Теория

Пример и Практическое Применение

Применение