再看文件名与Content-Disposition。这里水最深。中文文件名，有的浏览器能正常识别，有的会乱码。标准做法是后端做RFC 5987编码，但很多老系统只拼了URL编码，导致下载下来的文件名是%E4%B8%AD%E6%96%87这种鬼样子。还有文件名里带空格、带#号、带&符号的，都得单独测。我见过一个系统，文件名里带#号，下载后浏览器自动截断了#后面的部分，用户拿到手的是残缺文件。

文件内容本身也要验。下载下来的文件，要打开看格式对不对，编码对不对。CSV文件最典型，用Excel打开UTF-8编码的CSV，中文直接乱码，得加BOM头。PDF文件要检查字体是否嵌入，不然换台电脑打开就缺字。图片文件要检查色彩空间和分辨率，有些系统压缩过度，下载的图根本没法用。

断点续传和网络中断场景，很多人直接跳过。但实际操作中，用户下载大文件时切了Wi-Fi，或者点了暂停又继续，服务器如果没做Range请求支持，就会重新传输整个文件。测试时用Chrome的DevTools模拟慢速网络，或者用Fiddler直接断掉连接，看系统报什么错。有的系统会卡在“正在下载”状态，永远不结束，用户只能强关浏览器。

权限控制是另一个盲区。下载接口如果没做二次校验，用户可能直接改URL里的文件ID，就能下载别人的附件。我测过一个OA系统，下载接口只校验了登录态，没校验文件归属，把fileId从100改成101，就拿到了另一个部门的合同。这个漏洞比下载失败严重得多。

还要注意并发和重复点击。连点五次下载按钮，是生成五个请求还是只发一个？后端有没有做幂等处理？如果每个请求都触发一次文件生成，服务器CPU可能直接飙满。尤其是报表导出，数据量大时，并发几个请求就能把数据库拖垮。

最后是浏览器兼容性。Chrome和Firefox对下载的处理基本一致，但Safari对blob下载的支持有历史毛病，尤其是不支持download属性时，会直接打开PDF而不是下载。Edge的IE模式更是重灾区，有些老系统的下载依赖ActiveX，在Edge里直接废掉。

测试下载功能，别只盯着“文件能保存”这一个点。从触发、响应头、文件名编码、内容校验、断点续传、权限校验、并发处理到浏览器差异，每个环节都可能埋着雷。你花十分钟测完正常路径，不如花一小时去构造那些不正常的场景——毕竟用户永远比你更会折腾。