我有一个Weblication,它只向某些用户提供对某些页面的访问权限。现在这些页面上链接了一些文件。如果有人拥有该URL,则每个人都可以访问这些文件(在本例中为搜索引擎)。这应该改变!我该如何保护这样的目录?我想到了两个可能性:
还有其他可能吗?
答案 0 :(得分:1)
您可以将所有文件存储在 非公共 目录中,然后编写一个页面(就像你说的download.php?file = xxx一样)用户有权访问该文件,然后输出到浏览器。
修改强> 的
当您使用CMS时,我会假设用户有一个很好的GUI,他们可以单击以选择他们希望插入/链接到的文件?如果是这种情况,您可能会找到用于创建链接的代码,然后将http://www.whatever.com/download.php?file=
添加到文件名中,然后通过脚本路由下载。
答案 1 :(得分:1)
从this link拍摄并翻译(但仅在WaybackMachine中提供)。
在函数wCheckPermissionViewFile
的帮助下,php文件可以个性化。在文件的标题中执行权限检查以抑制输出就足够了。如果其他文件类型应该是个性化的(例如ZIP,PDF,...),则可以使用wPermission.cgi
或自定义php文件。
要保存编辑器,可以在每个指向二进制文件的个性化链接之前编写wPermission.cgi
,而不是使用Apache模块mod_rewrite
。有了这个,就可以在执行之前转换每个访问过的链接。例如,您可以定义wPermission.cgi
位于每个Web服务器调用之前。直接执行也可以在php文件的帮助下重定向(不需要wPermission.cgi
)。
.htaccess
文件的示例(wPermission.cgi
)#Alle Dateien mit angegebener Endung über wPermission.cgi aufrufen.
RewriteEngine on
RewriteCond %{REQUEST_URI} .pdf$ [NC,OR]
RewriteCond %{REQUEST_URI} .doc$ [NC,OR]
RewriteCond %{REQUEST_URI} .xls$ [NC,OR]
RewriteCond %{REQUEST_URI} .ppt$ [NC,OR]
RewriteCond %{REQUEST_URI} .pps$ [NC,OR]
RewriteCond %{REQUEST_URI} .zip$ [NC,OR]
RewriteCond %{REQUEST_URI} .jpg$ [NC,OR]
RewriteCond %{REQUEST_URI} .jpeg$ [NC,OR]
RewriteCond %{REQUEST_URI} .png$ [NC,OR]
RewriteCond %{REQUEST_URI} .gif$ [NC]
RewriteRule (.*) /cgi-bin/wPermission.cgi?file=/de/dokumente/$1
.htacces
文件的示例(例如 download.php ,见下文)#Alle Dateien mit angegebener Endung über die angegebene PHP-Datei aufrufen.
RewriteEngine on
RewriteCond %{REQUEST_URI} .pdf$ [NC,OR]
RewriteCond %{REQUEST_URI} .doc$ [NC,OR]
RewriteCond %{REQUEST_URI} .xls$ [NC,OR]
RewriteCond %{REQUEST_URI} .ppt$ [NC,OR]
RewriteCond %{REQUEST_URI} .pps$ [NC,OR]
RewriteCond %{REQUEST_URI} .zip$ [NC,OR]
RewriteCond %{REQUEST_URI} .jpg$ [NC,OR]
RewriteCond %{REQUEST_URI} .jpeg$ [NC,OR]
RewriteCond %{REQUEST_URI} .png$ [NC,OR]
RewriteCond %{REQUEST_URI} .gif$ [NC]
RewriteRule (.*) /de/download.php?path=/de/dokumente/$1
如果您想在不更改链接的情况下个性化目录/de/dokumente
中的所有PDF和ZIP文件,您可以将.htaccess
文件放入该目录。在此文件中定义了重定向规则。
可以使用任意文件扩展名扩展规则,NC
代表非大小写敏感。请注意,规则也会继承到子目录。
二进制文件本身必须签入并提供相应的个性化。
如果您想检查文件是否处于有效的发布时间段(例如在线或离线),请在通过PHP API wIsOnline
进行权限检查之前进行检查。
.htacces
文件”(例如 download.php )“<?php
////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
//
// Dieses Skript erzwingt den Download von Dokumenten. PDF, DOC, XLS und PPT Dokumente werden je nach Browser angezeigt.
//
////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
// Einlesen der Weblication(r) 4.x API:
require_once ($_SERVER["DOCUMENT_ROOT"]."/weblication/lib/WAPI/WAPI.inc");
$filenameRel = str_replace("..", "", $_GET['path']);
$filename = $_SERVER['DOCUMENT_ROOT'].$filenameRel;
if(preg_match("/\.\w+$/", $filename) && !preg_match("/\.(php|php5|php4|xml|xsl|cgi|pl)$/", $filename) && !preg_match("/\/weblication\//", $filename) && file_exists( $filename ) ){
if(wCheckPermissionViewFile($filenameRel) == 1){
header("Pragma: no-cache");
header("Expires: 0");
header("Cache-Control: must-revalidate, post-check=0, pre-check=0");
header("Cache-Control: private", false);
if(preg_match("/\.pdf/i", $filenameRel)){
header("Content-Type: application/pdf");
}
else if(preg_match("/\.doc/i", $filenameRel)){
header("Content-Type: application/msword");
}
else if(preg_match("/\.xls/i", $filenameRel)){
header("Content-Type: application/msexcel");
}
else if(preg_match("/\.ppt/i", $filenameRel)){
header("Content-Type: application/mspowerpoint");
}
else if(preg_match("/\.pps/i", $filenameRel)){
header("Content-Type: application/mspowerpoint");
}
else if(preg_match("/\.jpg/i", $filenameRel)){
header("Content-Type: image/jpg");
}
else if(preg_match("/\.jpeg/i", $filenameRel)){
header("Content-Type: image/jpeg");
}
else if(preg_match("/\.png/i", $filenameRel)){
header("Content-Type: image/png");
}
else if(preg_match("/\.gif/i", $filenameRel)){
header("Content-Type: image/gif");
}
else{
header("Content-Type: application/force-download");
header("Content-Disposition: attachment; filename=\"".basename($filename)."\";" );
header("Content-Transfer-Encoding: binary");
header("Content-Length: ".filesize($filename));
}
readfile($filename);
}
else{
print "Permission Denied!";
}
}
else {
print 'Sorry, wrong path or file does not exist on the server!';
print '<br/><a href="javascript:history.back();">back</a>';
}
exit;
?>
对于较新版本的Weblication
this link可能有所帮助。它是德语,因为制造商的主要语言是德语。