php 폴더 및 파일 권한

Question

폴더 및 파일 권한 작동 방식에 대한 몇 가지 질문이 있습니다. 내가 사용자 A 디렉토리에서 아무것도 액세스 할 수있는 권한이없는 사용자 B를 원하지 않는

users 
    -- usera 
    -- docs 
    -- userb 
    -- docs 
protected 

.. 내가 사용자 디렉토리 외부 아래와 같이 '보호'가 있다고. 또한, 어떤 사람이 URL 링크를 통해 디렉토리 디렉토리에 액세스하는 것을 원하지 않습니다. 기본적으로 나는 사용자가 자신의 디렉토리에 액세스 할 수 있기를 원합니다. 어떻게 할 수 있습니까?

감사합니다.

Answer 1

나는 여기에 limiting users to subdirectories이라는 당신이 필요에 맞게 조정할 수 있어야만하는 simular 질문에 대답했다.

Download.php

<?php 
/** Load your user assumed $user **/ 

$file = trim($_GET['file']); 

/** Sanitize file name here **/ 

if (true === file_exists('/users/user'.$user->id.'/'.$file)) { 
    //from http://php.net/manual/en/function.readfile.php 
    header('Content-Description: File Transfer'); 
    header('Content-Type: application/octet-stream'); 
    header('Content-Disposition: attachment; filename="'.$file.'"'); 
    header('Content-Transfer-Encoding: binary'); 
    header('Expires: 0'); 
    header('Cache-Control: must-revalidate, post-check=0, pre-check=0'); 
    header('Pragma: public'); 
    header('Content-Length: ' . filesize($file)); 
    ob_clean(); 
    flush(); 
    readfile($file); 
    exit; 
} else { 
    throw new Exception('File Not Found'); 
} 

htaccess로는 /download.php?file=filename.ext를 사용하여 모든 직접 파일 다운로드

deny from all 

그런 다음 폴더에 링크 할을 거부하고 그것에 현재 사용자의 users 디렉토리에서만 해당 파일을 다운로드합니다.

디렉토리 횡단 공격에 취약하지 않도록 입력 파일 이름을 보호해야합니다.

Answer 2

더 이상의 정보가 없으면 내 사용자 디렉토리가 웹 루트 위에 있는지 확인하는 것이 좋습니다. 이렇게하면 연결되지 않습니다. 그런 다음 사용자가 자신이 말하는 사람인지 확인하는 PHP 스크립트를 만듭니다. 로그인 한 사용자의 신원을 알았 으면 fpassthru() (http://php.net/fpassthru) 또는 유사하게 문서를 사용자에게 전달할 수 있습니다.