wyświetlenie obrazka z zabezpieczonego folderu, jak ominąć zabezpieczenie? Opcje

[ktuvok]

W jednym ze skryptów wyświetlam obrazek w sposób następujący:

[PHP] pobierz, plaintext 
<?php
 
echo"
<img src="Obrazki/$NazwaObrazka">
";
 
?>
[PHP] pobierz, plaintext 

Jednocześnie zabezpieczyłem katalog "Obrazki" na serwerze w taki sposób, aby juzer nie mógł sobie podejrzeć zdjęcia wpisując po prostu adres:

http://www.domena.pl/Obrazki/1234.jpg

Niestety, skoro zabezpieczyłem katalog, to nie mogę wyświetlić obrazka poprzez skrypt...

Co zrobić, aby skrypt miał dostęp do obrazków w zabezpieczonym katalogu?

Pozdrawiam,
K

[bendi]

Kod

<img src="img.php?i=bla.jpg">

img.jpg

[PHP] pobierz, plaintext 
<?
if( userIsAllowedToViewThisImage( $_GET['i'] ) ) {
showImageToUser( $_GET['i'] );
}
else {
doImage(" You're not allowed to view this image! " );
}
?>
[PHP] pobierz, plaintext 

To tak w duzym skrocie.
Reszta implementacji zalezy od Ciebie!

[ktuvok]

Ehhh, chyba mnie nie zrozumiałeś, albo skrót jest zbyt duży...

Juzer zawsze ma być uprawiony do obejrzenia obrazka z poziomu skryptu! Inaczej mówiąc - nie jest potrzebna dodatkowa autoryzacja.

Zabezpieczenie katalogu jest po to, by juzer / gość / ktokolwiek nie mógł sobie obejrzeć obrazka nie wchodząc na odpowiednią stronę. Jak już wejdzie na stronę i odpali skrypt, który tworzę, to obrazek ma być mu wyświetlony.

Skrypt jest częścią systemu, który weryfikuje określone uprawnienia na każdym etapie, ale katalog musiałem jakoś zabezpieczyć i teraz nie wiem, jak to zabezpieczenie "zdjąć" dla juzerów, którzy uruchomili skrypt.

Będę wdzięczny za wszelkie sugestie.

Pozdrawiam,
K

[pawel_k]

nie wiem czy cos takiego ciebie zainteresuje ale przychodzi mi na mysl cos takiego:
- masz swoj katalog na serwerze, a w tym katalogu katalog public_html (czy jak tam admin ten katalog nazwal) na strone i katalog obrazki na obrazki (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)
- w katalogu obrazki masz obrazek obrazek.gif (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)
- w katalogu public_html jakis plik html a w srodku <img src="../obrazki/obrazek.gif" alt="obrazek" />

szczerze to nie wiem czy nie mozna do takiego obrazka jakos sie dostac ale na tan temat nie sie wypowie ktos lepiej obeznany (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

Ten post edytował pawel_k 12.08.2005, 16:46:32

[cube]

Jednocześnie zabezpieczyłem katalog "Obrazki" na serwerze w taki sposób, aby juzer nie mógł sobie podejrzeć zdjęcia wpisując po prostu adres:

Na czym polega to zabezpieczenie (htaccess, skrypt php)?

[ktuvok]

.htaccess

[orson]

witam ...

zabezpiecz katalog dla wszystkich poza lokalnymi użytkownikami a obrazki wyświetlaj przez skrypt wysyłający nagłówek a potem readfile (proces serwera działa jako lokalny więc może czytać) ... odpowiedni nagłówek znajdziesz na stronie mana php ... ale chyba powinno być content-type: image/jpeg content-disposition: inline ...ale nie jestem pewien ...

pozdrawiam

[number0]

Witaj

Najpierw zabezpiecz zdjęcia:
Jeśli twój serwer www to Apache zrób plik . htaccess w katalogu ze zdjeciami.
W pliku umieść wpis „deny from all” to zabezpieczy pliki przed dostępnem z internetu wiecej o Apache i . htaccess na stronie: http://webdeveloper.pl/
Teraz mamy zabezpieczone zdjęcia przed niepowołanym dostępem.

Inny sposób zabezpieczenia to przeniesienie zdjęc z katalog dokumentów www serwera do jakiegoś bardziej bezpiecznego miejsca

Udostępnij zdjęcia za pomocą skryptu
Niech udostępnianiem zdjęć zajmie się skrypt php np. o nazwie image.php
Skrypt bedzie dział na zasadzie "bramki" odbiera żądanie, sprawdza użytkownika i odsyła plik

a obrazki wstawiasz:

[HTML] pobierz, plaintext 
<img src="image.php?img=xxxx" alt=" obrazek "/>
[HTML] pobierz, plaintext 

xxx-nazwa pliku znajdującego się w bezpiecznym katalogu

Przykład

[PHP] pobierz, plaintext 
<?php
/*****************************************************************
 Copyright (C) 2005 Sebastian Siennicki 
 
 Contact:
	email: kontakt [at] number0.info
	www: http://number0.info/
 
 This program is free software; you can redistribute it and/or
 modify it under the terms of the GNU General Public License
 as published by the Free Software Foundation; either version 2
 of the License, or (at your option) any later version.
 
 More Info About The Licence At http://www.gnu.org/copyleft/gpl.html
******************************************************************/
 
// domyślny katalog z plikami
define('IMAGE_DIR', './img/');
 
// domyślne obrazki z komunikatami
define('IMAGE_NOT_FOUND', 'not_found.png');
define('IMAGE_UNAUTHORIZED', 'unauthorized.png');
define('IMAGE_DEFAULT', 'default.png');
 
// tabelka mime types
$ext = array( 'image/gif' => 'gif',
			  'image/jpeg' => 'jpg',
			  'image/png'  => 'png'
			);
 
// sprawdzamy obecność domyślnych plików
if(! (file_exists(IMAGE_DIR.IMAGE_NOT_FOUND) and
	  file_exists(IMAGE_DIR.IMAGE_UNAUTHORIZED) and
	  file_exists(IMAGE_DIR.IMAGE_DEFAULT))
   )
{
	echo 'Blad!';
	exit();
}
 
// Funkcja wysyłająca wskazany plik
//  z katalogu IMAGE_DIR
function sendFile($image)
{
	// sprawdzamy czy plik istnieje
	if(! file_exists(IMAGE_DIR.$image))
	{
		// Brak żądanego pliku
		sendFile(IMAGE_NOT_FOUND);
	}
 
	// sprawdzanie typu pliku
	$type = array_search(end(explode(".",$image)), $GLOBALS["ext"]);
	if( $type == FALSE)
	{
		// brak zdefiniwenego typu mime
		sendFile(IMAGE_DEFAULT);
	}
 
	// wysyłanie nagłówków http
	header("Content-Type: $type");
	header("Content-Disposition: inline; filename=$image");
 
	// wysyłanie wskazanego pliku z IMAGE_DIR
	@readfile (IMAGE_DIR . $image);
}
 
// tu wstawiamy mechanizm autoryzacji użytkownika
$auth = TRUE;
 
// ustawianie nazwy żądanego pliku
// trzeba dodać sprawdzanie poprawności
$image = $_GET['img'];
if ($image =='')
{
	// nie zdefiniowano pliku
	sendFile(IMAGE_DEFAULT);
}
 
 
// sprawdzanie dostępu użytkownika
if ($auth == TRUE)
{
	// użytkownik posiada prawa
	sendFile($image);
}
else
{
	// brak dostępu do pliku
	sendFile(IMAGE_UNAUTHORIZED);
}
?>
[PHP] pobierz, plaintext 

Ten post edytował number0 13.08.2005, 22:51:00

[Liko]

bendi już dawno pisał o tym w drugim poście. (IMG:http://forum.php.pl/style_emoticons/default/exclamation.gif)