如何加密网址和解密以访问被拒绝的访问内容?

时间:2019-04-01 14:03:25

标签: php encryption

我创建了一个名为secure的文件夹,在该文件夹中,我有一个文件.htaccess和文件.mp4

secure
    |--- trailer.mp4
    |--- .htaccess

我的文件.htaccess

RewriteEngine on

RewriteRule ^(.*)/(.*)/(.*)$ file.php?h=$1&t=$2&v=$3
RewriteRule ^$ - [F]
RewriteRule ^[^/]+\.(flv|mp4)$ - [F]

通过此表格,我可以毫无问题地访问文件,没有任何错误。

$path = "secure/trailer.mp4";
$size=filesize($path);

$fm=@fopen($path,'rb');
if(!$fm) {
  // You can also redirect here
  header ("HTTP/1.0 404 Not Found");
  die();
}

$begin=0;
$end=$size;

if(isset($_SERVER['HTTP_RANGE'])) {
  if(preg_match('/bytes=\h*(\d+)-(\d*)[\D.*]?/i', $_SERVER['HTTP_RANGE'], $matches)) {
    $begin=intval($matches[0]);
    if(!empty($matches[1])) {
      $end=intval($matches[1]);
    }
  }
}

if($begin>0||$end<$size)
  header('HTTP/1.0 206 Partial Content');
else
  header('HTTP/1.0 200 OK');

header("Content-Type: video/mp4");
header('Accept-Ranges: bytes');
header('Content-Length:'.($end-$begin));
header("Content-Disposition: inline;");
header("Content-Range: bytes $begin-$end/$size");
header("Content-Transfer-Encoding: binary\n");
header('Connection: close');

$cur=$begin;
fseek($fm,$begin,0);

while(!feof($fm)&&$cur<$end&&(connection_status()==0))
{ print fread($fm,min(1024*16,$end-$cur));
  $cur+=1024*16;
  usleep(1000);
}
die();

但是在想要加密文件的路径并解密文件file.php的那一刻对我不起作用,它不再打开,它不播放文件.mp4。 / p>

encrypt.php

<?php
session_start();
$sid = session_id();

$path = "secure/trailer.mp4";

$hash = md5($path.$sid); //You need to use proper encryption. This is not secure at all.

$_SESSION[$hash] = $path;
?>
<html>
<head></head>
<body>
    <video width="320" height="240" controls>
        <source src="file.php?video=<?= $hash ?>" type="video/mp4">
    </video>
</body>
</html>

解密文件 file.php

<?php
session_start();
if (isset($_GET["video"]) && isset($_SESSION[$_GET["video"]])) {

$file = $_SESSION[$_GET["video"]]; //Get the filename
readfile($file);

$path = $file;
//$path = "secure/trailer.mp4";
$size=filesize($path);

$fm=@fopen($path,'rb');
if(!$fm) {
  // You can also redirect here
  header ("HTTP/1.0 404 Not Found");
  die();
}

$begin=0;
$end=$size;

if(isset($_SERVER['HTTP_RANGE'])) {
  if(preg_match('/bytes=\h*(\d+)-(\d*)[\D.*]?/i', $_SERVER['HTTP_RANGE'], $matches)) {
    $begin=intval($matches[0]);
    if(!empty($matches[1])) {
      $end=intval($matches[1]);
    }
  }
}

if($begin>0||$end<$size)
  header('HTTP/1.0 206 Partial Content');
else
  header('HTTP/1.0 200 OK');

header("Content-Type: video/mp4");
header('Accept-Ranges: bytes');
header('Content-Length:'.($end-$begin));
header("Content-Disposition: inline;");
header("Content-Range: bytes $begin-$end/$size");
header("Content-Transfer-Encoding: binary\n");
header('Connection: close');

$cur=$begin;
fseek($fm,$begin,0);

while(!feof($fm)&&$cur<$end&&(connection_status()==0))
{ print fread($fm,min(1024*16,$end-$cur));
  $cur+=1024*16;
  usleep(1000);
}
die();
}

他们可以向我解释我做错了,我试图使url具有12小时的验证访问权限,我希望这一代人可以通过其ip地址访问。

2 个答案:

答案 0 :(得分:2)

  

他们可以向我解释我做错了,   $ hash = md5($ path。$ sid);   //您需要使用适当的加密。这一点都不安全。

请尝试了解哈希和加密之间的区别。 (我不会解释,这将是您的作业)。无论如何-绝对是在这种情况下md5完全损坏且使用不安全。

  

我尝试使该网址具有12小时的验证访问权限,

您可能会看到大型云供应商如何创建具有有限访问权限的链接。 (尝试搜索OpenStack或AWS如何创建过期链接)

也许您甚至不需要加密文件名,确保授权应用程序已授予对该文件的访问权限可能是完全令人满意的。

非常简单的示例:

https://host/filename?expire=<expire timestamp>&signature=<hmac(base)>

base 可能是您需要的任何内容,例如url,客户端ip,到期时间戳记

如果需要加密文件名,然后正确加密,请参见openssl_encrypt

答案 1 :(得分:1)

实际上,如上所述,加密/描述不同于散列。 我根据您的代码做了一个简单的例子:

includes.php

<?php
function encrypt_decrypt($action, $string)
{
    $output = false;
    $encrypt_method = "AES-256-CBC";
    $secret_key = '<My-secret-key>';

    $ivlen = openssl_cipher_iv_length($string);
    $secret_iv = openssl_random_pseudo_bytes($ivlen);
    $key = hash('sha256', $secret_key);
    $iv = substr(hash('sha256', $secret_iv), 0, 16);
    if ($action == 'encrypt') {
        $output = openssl_encrypt($string, $encrypt_method, $key, 0, $iv);
        $output = base64_encode($output);
    } else if ($action == 'decrypt') {
        $output = openssl_decrypt(base64_decode($string), $encrypt_method, $key, 0, $iv);
    }
    return $output;
}

encrypt.php

<?php
include "includes.php";

$fileInfo = array(
    'filePath' => 'secure/trailer.mp4', //path of the file
    'linkValidTill' => mktime(3, 0, 0, 4, 16, 2019) // till when the link must be active
);

$fileInfoJson = json_encode($fileInfo);

$videoInfo = encrypt_decrypt('encrypt', $fileInfoJson);

?>
<html>
<head></head>
<body>
<video width="320" height="240" controls>
    <source src="file.php?video=<?= $videoInfo ?>" type="video/mp4">
</video>
</body>
</html>

file.php

<?php
include "includes.php";

$contentAccessIsDenied = true;

if (isset($_GET["video"])) {
    $fileInfoJson = encrypt_decrypt('decrypt', $_GET["video"]);
    if ($fileInfoJson !== false) {
        $fileInfo = json_decode($fileInfoJson, true);
        if ($fileInfo['linkValidTill'] > mktime()) {
            if(file_exists($fileInfo['filePath'])){
                $contentAccessIsDenied = false;

                $file = $fileInfo['filePath'];
                readfile($file);

                $path = $file;
                $size = filesize($path);

                $fm = @fopen($path, 'rb');
                if (!$fm) {
                    header("HTTP/1.0 404 Not Found");
                    die();
                }

                $begin = 0;
                $end = $size;

                if (isset($_SERVER['HTTP_RANGE'])) {
                    if (preg_match('/bytes=\h*(\d+)-(\d*)[\D.*]?/i', $_SERVER['HTTP_RANGE'], $matches)) {
                        $begin = intval($matches[0]);
                        if (!empty($matches[1])) {
                            $end = intval($matches[1]);
                        }
                    }
                }

                if ($begin > 0 || $end < $size)
                    header('HTTP/1.0 206 Partial Content');
                else
                    header('HTTP/1.0 200 OK');

                header("Content-Type: video/mp4");
                header('Accept-Ranges: bytes');
                header('Content-Length:' . ($end - $begin));
                header("Content-Disposition: inline;");
                header("Content-Range: bytes $begin-$end/$size");
                header("Content-Transfer-Encoding: binary\n");
                header('Connection: close');

                $cur = $begin;
                fseek($fm, $begin, 0);

                while (!feof($fm) && $cur < $end && (connection_status() == 0)) {
                    print fread($fm, min(1024 * 16, $end - $cur));
                    $cur += 1024 * 16;
                    usleep(1000);
                }


            }
        }
    }
}

if ($contentAccessIsDenied) {
    header("HTTP/1.1 401 Unauthorized");
    die();
}

在这里您可以看到,我添加了一个额外的函数,该函数可以加密和解密作为参数传递给它的字符串。在这里,您可以更改算法,密钥等...

我建议不要将散列传递给file.php,以后再使用会话变量进行检查,而是将所有需要的数据作为加密的JSON字符串传递给querystring变量。在我的示例中,我传递了文件路径以及应该起作用的链接的持续时间(您的代码完全不可能,因为会话结束后会清除会话变量) .php使用相同的算法和密钥对其进行解密。

请注意,这只是一个简单的示例,您可以基于它来解决问题。