[ZendFramework] Gdzie umieścić pliki do pobrania dla zalogowanych użytkowników?, Oraz jak je zabezpieczyć przed pobieraniem ich przez niezalogowanych Opcje

[Master Pain]

Witam

Jak w temacie. Co proponujecie?
Chodzi o to, żeby niezalogowany użytkownik nie pobrał pliku w żaden sposób.
Plików nie chcę przechowywać w bazie, tylko jako pliki w jakimś konkretnym katalogu, np:
Pliki
|--- plik1.txt
|--- plik2.pdf
\--- plik4.jpg

Pozdrawiam,
Master Pain

[phpion]

Pytanie nie dotyczy ZF tylko generalnie programowania w PHP. Aby zezwolić na pobieranie pliku tylko przez osoby zalogowane musisz "maskować" adres pliku i przepuszczać żądanie pobieranie przez skrypt PHP. W skrypcie tym sprawdzasz czy użytkownik jest zalogowany; jeśli tak to ustawiasz odpowiednie nagłówki, pobierasz zawartość pliku (readfile) i wysyłasz plik do przeglądarki. Jeśli nie jest zalogowany to wyświetlasz odpowiedni komunikat. Pliki do pobrania najlepiej trzymać poza katalogiem dostępnym spod przeglądarki (czyli poza www czy public_html). Dzięki temu nikt nie pobierze pliku odgadując jego nazwę/ścieżkę.

[pgrzelka]

pamiętaj tylko o wysłaniu odpowiednich nagłówków
header()

[Master Pain]

Witam

Wiem, że problem nie dotyczy stricte ZF, ale podałem go tutaj, gdyż myślałem, że jest jakaś gotowa motoda pod ZF, a dokładniej miejsce, gdzie należy trzymać te pliki. Co do sposobu ich przekazywania do użytkownika, to temat jest mi znany (pytałem o miejsce), ale dzięki (IMG:style_emoticons/default/smile.gif)

Zastanawia mnie raczej czy miejsce może być dowolne, ze względu na sposób wywoływania controllerów w ZF. Jeżeli ktoś poda adres:
www.strona.pl/files/nazwa-pliku(.pdf) - w tym momencie ZF będzie chciał wywołać controller files i akcję nazwa-pliku(.pdf) - a takiego controllera i akcji docelowo nie będzie. Czy to samo w sobie nie jest dobrym zabezpieczeniem?

Pozdrawiam

Ten post edytował Master Pain 30.09.2009, 07:45:43

[Ikky]

jak ktos wejdzie na taki adres www.strona.pl/files/plik.pdf
to zend nie będzie wywoływał zadnego kontrolera files
tylko wejdzie do katalogu public/files/plik.pdf

dostałeś gotowe rozwiązanie
stwórz folder files równolegle z library application public tak żeby nie można było sciągać plików po wpisaniu czegos tam do przegladarki

[Master Pain]

jak ktos wejdzie na taki adres www.strona.pl/files/plik.pdf
to zend nie będzie wywoływał zadnego kontrolera files
tylko wejdzie do katalogu public/files/plik.pdf

Nie masz racji. Dopiero jeżeli będzie w public/files/plik.pdf - to tak. Jeżeli w files jako nadrzędny katalog, to nie otworzy - właśnie przetestowałem.
Pytam, bo wolę się upewnić, czy jest to wystarczająco bezpieczne. Umieszczenie plików w katalogu równorzędnym do public_html nie stanowi problemu. Tylko jeżeli jest możliwość, wolę trzymać je obok plików strony, żeby przy przenoszeniu czegoś nie zapomnieć, albo żeby ktoś nie namieszał widząc katalog tuż obok public_html.