[php] pobieranie pliku po zalogowaniu się Opcje

[jarmiar]

Wiem że było kilka już takiech tematów na forum, więc postanowiłem napisać jeszcze jeden, który rozwiąże Wasze wątpliwości.

Wiele z Was pyta jak zabezpieczyć plik przed ściągnieciem przez nieupoważnione osoby?

Zaczynamy!

Do tego napisałem prosty skrypt, który pozwoli to wykonać:

http://url.bee.pl/uyf

(pozwoliłem sobie na podanie adresu do pliku na serwerze, ponieważ przy wpisywaniu tego kodu na forum, skrypt doklejał niepotrzebne tagi co mogłoby być przyczyną niewłaściwego działania kodu)

Teraz chcąc pobrać jakiś plik musimy wskazać adres w przeglądarce:

skrypt.php?id=nazwa_pliku.zip

Jeżeli użytkownik wskazujący plik będzie zalogowany to będzie mógł go ściągnąć. Jeśli będzie odwrotnie pojawi mu się stosowny komunikat.
Co prawda ten skrypt można znacząco rozbudować, ja jednak podałem tylko wzór.

Mam nadzięję, że ten post pomógł Wam!

Pozdrawiam (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)
Jarmiar

[^bmb]

nazwa pliku w parametrze GET? (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) )))))))
Weź może chociaz waliduj to co przychodzi w tym parametrze bo jak w takim stanie skryptu bedziesz uzywal to ci sciagna pare innych rzeczy niz to co myslisz (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

[jarmiar]

nazwa pliku w parametrze GET? (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) )))))))
Weź może chociaz waliduj to co przychodzi w tym parametrze bo jak w takim stanie skryptu bedziesz uzywal to ci sciagna pare innych rzeczy niz to co myslisz (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

patrzyłeś uważnie na zawartośc skryptu?(IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

nie sądze!

wydzieliłem tam specjalną zmienną $sciezka i ona będzie prowadziła do katalogu z plikami, które będzie można ściągnąć po zalogowaniu się (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

[^bmb]

patrzyłeś uważnie na zawartośc skryptu?(IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

nie sądze!

wydzieliłem tam specjalną zmienną $sciezka i ona będzie prowadziła do katalogu z plikami, które będzie można ściągnąć po zalogowaniu się (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

wiec nie zadziała np. skrypt.php?id=../../<twoj_skrypt> ?

(IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[jarmiar]

wiec nie zadziała np. skrypt.php?id=../../<twoj_skrypt> ?

(IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

jasne że w ten sposób można sciągnąć parę plików, ale kto będzie się w to bawił(IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) (IMG:http://forum.php.pl/style_emoticons/default/exclamation.gif)

a po drugie nawet gdyby ściągnąć coś chciał to musi znać strukturę katalogów na serwerze i przy ściaganiu plików php nie zobaczy kodu php tylko wygenerowany przez zerwer kod html.

więc myślę że jest wystarczający ten mój skrypt.

[^bmb]

jasne że w ten sposób można sciągnąć parę plików, ale kto będzie się w to bawił(IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) (IMG:http://forum.php.pl/style_emoticons/default/exclamation.gif)

Możesz mi wierzyć że jest sporo ludzi którzy lubią się tak pobawić (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

a po drugie nawet gdyby ściągnąć coś chciał to musi znać strukturę katalogów na serwerze i przy ściaganiu plików php nie zobaczy kodu php tylko wygenerowany przez zerwer kod html.

A co stoi na przeszkodzie żeby popróbować kilka razy z ilościa np ../

więc myślę że jest wystarczający ten mój skrypt.

Spoko Twoja sprawa...zależy kogo uważasz za grupę docelową(IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Zresztą może inni użytkownicy się wypowiedzą
Pozdrawiam (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[Darti]

Jest:

[PHP] pobierz, plaintext 
<?php
header('Content-Disposition: attachment; filename='.$sciezka.'/'.$id);
?>
[PHP] pobierz, plaintext 

powinno być:

[PHP] pobierz, plaintext 
<?php
header('Content-Disposition: attachment; filename="'.$sciezka.'/'.$id.'"');
?>
[PHP] pobierz, plaintext 

Poza tym na dorzuciłbym jakiś readfile(); bo użytkownik dostanie plik ... ale o wielkości 0 kB (IMG:http://forum.php.pl/style_emoticons/default/blinksmiley.gif)
No i dodał bym:

[PHP] pobierz, plaintext 
<?php
header("Content-Length: ". filesize($sciezka.'/'.$id));
?>
[PHP] pobierz, plaintext 

coby użytkownik wiedział jakiej długości dostanie plik i miał fajny pasek pobierania.
Mime-Type tez przydało by się zmienić na akurat wysyłany plik ...

edit:
Zapomniałem jeszcze o sytuacji kiedy nazwa pliku zawiera spację (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

I na koniec: dopisuję się do uwag ^bmb

Ten post edytował Darti 8.06.2007, 03:24:03