改后缀为.mp4无法让PHP当视频用，因服务器不再执行PHP代码且Content-Type未正确设置；正确做法是保持.php后缀并用header输出video/mp4等响应头。
直接改 .php 文件后缀为 .mp4 不但不安全，而且完全无效——浏览器和服务器根本不会因此把 PHP 脚本当视频执行或播放。
为什么改后缀不能让 PHP 当 MP4 用
文件扩展名只是操作系统和应用的“提示”，不改变文件真实内容或服务端行为。PHP 文件本质是可执行脚本，M
P4 是二进制媒体容器。两者解析逻辑天差地别：
- Web 服务器（如 Apache/Nginx）根据扩展名决定是否交给 PHP 解释器处理；改成
.mp4后，服务器直接当作静态文件返回，**PHP 代码不会执行** - 浏览器收到响应时，看的是 HTTP 响应头中的
Content-Type（比如video/mp4），不是文件名后缀；若后端没设置对的 header，即使叫test.mp4，浏览器也可能下载、报错或乱码 - PHP 脚本里如果写了
echo file_get_contents('video.mp4');，输出的是原始字节流；但若没配header('Content-Type: video/mp4');和header('Accept-Ranges: bytes');，视频无法拖拽、缓冲失败
真要“用 PHP 输出 MP4”，该怎么做
正确做法是保留 .php 后缀，用 PHP 控制响应头和输出内容。典型场景：权限校验后动态提供视频、加水印、切片等。
header('Content-Type: video/mp4');
header('Content-Length: ' . filesize($video_path));
header('Accept-Ranges: bytes');
header('Cache-Control: public, max-age=31536000');
readfile($video_path);
关键点：
-
Content-Type必须设为video/mp4，否则前端无法识别为视频 -
Accept-Ranges: bytes是视频拖动/快进的前提，缺失会导致进度条失效 - 大文件避免用
file_get_contents()全部读入内存，要用readfile()或分块fread() - 若需支持断点续传（如移动端），还得解析并响应
Range请求头，手动处理 206 状态码
改扩展名的风险在哪
表面看只是重命名，实际可能触发多重隐患：
- Web 服务器配置中若禁用了
.mp4的 MIME 类型或设置了严格白名单，请求直接 404 或被拦截 - CDN 或反向代理（如 Nginx）可能缓存错误的
Content-Type，导致后续所有请求都返回错类型 - PHP 文件被当成静态资源暴露源码：如果服务器未配置好，用户直接访问
xxx.mp4可能导致 PHP 源码被原样下载（尤其在 CGI/FastCGI 配置异常时） - 安全扫描工具会告警：一个
.mp4文件返回了 PHP 特征字符串（如），会被标记为“伪装恶意文件”
更安全的替代方案
如果目标是隐藏技术栈或统一 URL 形式，优先选路由或重写，而非改后缀：
- Nginx 中用
location /video/ { rewrite ^/video/(.*)$ /video.php?id=$1 last; }，对外是/video/123.mp4，实际走 PHP - PHP 框架（如 Laravel、ThinkPHP）用路由定义
Route::get('video/{id}.mp4', [VideoController::class, 'show']); - 静态 MP4 就放真实路径，用 PHP 做鉴权跳转（
header('Location: /static/video.mp4');），避免 PHP 流式输出大文件
真正要注意的从来不是后缀名，而是 Content-Type 是否匹配、Range 是否支持、源码会不会泄露、CDN 缓存策略是否合理——这些地方出问题，比纠结 .php 还是 .mp4 危险得多。
