Restreindre l'accès des fichiers - Lisez uniquement PHP

Vous pouvez simplement les cacher. C'est la sécurité par l'obscurité, mais cela ressemble à votre meilleure option si vous ne pouvez pas les garder hors de la racine Web ou trouver un moyen de dire au serveur de ne pas les servir directement.

Alors enfoncez-les dans Un répertoire aléatoire nommé: p> xxx pré>

puis écrivez-vous un petit script PHP qui enverra des en-têtes appropriés et transmettez le contenu du fichier via. P>

par exemple : P>

<?PHP
//pdf.php
$id = $_GET['id'];

//make sure nobody is doing anything sneaky. is_numeric() might do the trick if the IDs are always integers.
if (!some_validation_passes($id)){
  die();
}
<?php

header('Content-type: application/pdf');
header('Content-Disposition: attachment; filename="'.$id.'.pdf"');
readfile('asd8b8asd8327bh'.$id.'pdf');

Faites un web dossier inaccessible via chmod. PHP sera toujours en mesure d'inclure / besoin de ce qui est sur le serveur, mais les utilisateurs ne seront pas en mesure de naviguer vers les fichiers de tous les temps.

exemple: Ceci est défini sur 770, c'est-à-dire que l'utilisateur et le groupe peuvent lire / écrire / exécuter, d'autres ne peuvent rien faire.

Parce que PHP utilise les autorisations de l'utilisateur du serveur Web, il n'est pas moyen de restreindre l'accès aux fichiers sans non plus:

• les placer en dehors du docroot
• Modification de la configuration du serveur Web pour interdire l'accès à ces fichiers
• Modification du fichier afin qu'il soit interprété par le serveur Web, caché ainsi son contenu

  Les mettre dans une base de données compte comme en dehors du docroot. Pour la troisième option, vous pouvez créer les fichiers PDFS PHP, mais honnêtement, ce serait assez compliqué.

  Je vous recommande de contacter Godaddy et voyez s'ils ont un moyen de configurer des autorisations de fichier par répertoire.

Étant donné que vous ne pouvez pas mettre les fichiers nulle part, mais dans votre répertoire public_html, vous devrez choisir la méthode «Sécurité par obscurité» crainte / détestée

1. créer un sous-répertoire nommé de manière aléatoire pour stocker les fichiers dans: public_html / randomgarbage

2. Assurez-vous que le répertoire n'est pas navigable. Désactiver la navigation du répertoire (si vous le pouvez) et mettre un document par défaut (index.html?) Dans votre référence également, alors même si la navigation est activée, vous n'obtiendrez pas la liste de répertoires.

3. Ne stockez pas vos fichiers avec des noms devinables. Au lieu de les stocker avec l'identifiant de la base de données, rangez-les à la place d'un nom salé + haché: $ crypted_filename = SHA1 ($ real_filename. "Quelques textes de sel difficiles" (bien sûr, rendre cela plus complexe si vous avez besoin de). Stockez le nom de fichier d'origine dans votre base de données. Donc, vous vous retrouvez avec quelque chose comme:

   Public_html / RandomGarbage / 5BF1FD927DFB8679496A2E6CF00CBE50C1C87145 Public_HTML / RandomGarbage / 7ec1F0EB9119D48EB6A3176CA47380C6496304C8

4. Servez les fichiers via un script PHP - ne liez jamais directement au nom de fichier haché directement

   Télécharger

   qui fait alors: xxx

   de cette façon, l'utilisateur ne verra jamais ce que votre nom de fichier "S00PER DRIT" est, ils verront simplement leur navigateur ... php? fileid = 37 et démarrez un téléchargement de fichier secret.pdf

   sur le dessus de cela, vous pouvez occasionnellement renommer le sous-sol spécial -Directory à quelque chose d'autre sur une base régulière, tout en modifiant le texte du sel (qui nécessite ensuite de mettre à jour tous les noms de fichiers hachés avec les nouvelles valeurs SHA1).