Limita l'accesso ai file agli utenti php autorizzati

Question

Ho ereditato un'applicazione con un buco di sicurezza abbagliante.

Ha una sicurezza basata sulla sessione, ma i caricamenti di file (che sono specifici dell'utente) non sono protetti in alcun modo e sono memorizzati nella struttura dei file pubblici.

I nomi di file non seguono alcuna convenzione in quanto tale, rendendoli difficili da indovinare, ma i dati sono sensibili e pertanto è necessario implementare una misura di sicurezza per impedire l'accesso non autorizzato ai file.

Spostare la posizione dei file non è davvero un'opzione, quindi sto esaminando una soluzione htaccess per inoltrare richieste a uno script di gestore php.

Qualcuno ha esperienza nell'implementazione di questo tipo di cose o di buone soluzioni alternative? Esempi specifici di sintassi .htaccess sono molto apprezzati, dato che sto lottando in questo settore.

Answer 1

Non capisco davvero perché spostarli non è un'opzione, dal momento che spingere le richieste per loro a un gestore significa che non importa più dove sono memorizzati. Ma tu sei l'uomo sulla scena.

.htaccess assomiglia:

RewriteEngine on 
RewriteRule path/to/where/these/files/live/(.*) /handlerscript.php/$1 

Poi si solleva il percorso del file rimanente e nome da $_SERVER['PATH_INFO'].

Answer 2

Penso che potrebbe essere necessario scrivere uno script che servirà le immagini, quindi utilizzare htaccess per limitare completamente l'accesso alle immagini reali da un browser.

Lo script può prendere il percorso web dell'immagine, decidere se l'utente ha accesso, quindi utilizzare qualcosa come fpassthru per alimentare un'immagine reale al browser.

Tutti i riferimenti alle immagini devono essere modificati, tuttavia, per fare riferimento allo script di servizio.

Così, invece di accedere alle immagini con /images/123/5423453245.jpg, sarebbe /image.php?images/123/5423453245.jpg

O qualcosa di simile a quello.

Answer 3

Beh, si potrebbe fare apache parse .jpg il file di una certa cartella aggiungendo quanto segue al file .htaccess

AddHandler php5-cgi .jpg 

allora si potrebbe impostare un file di php per analizzare la richiesta il modo in cui il caos che si era raccomandarlo e facendo una certa convalida, poi basta tornare intestazioni jpeg insieme con l'immagine corretta u'd desidera visualizzare

ecco un esempio

<?php 
if($validUser) 
    { 
    header("Cache-control: No-cache"); 
    header("Pragma: No-cache"); 
    header("Content-Type: image/jpeg"); 
    //correct picture address 
    $img = imagecreatefromjpeg("2326_b_lil.jpg"); 
    imagejpeg($img); 
    } 
    else 
    { 
    //code for error image 
    } 
?> 

pl facilità fammi sapere se vuoi un esempio più ampio