Witam, ostatnimi czasy pojawia się dużo tematów jak zabezpieczyć obrazki (np. tylko dla domeny, tylko dla zalogowanych etc.)

(edit)
Stara wersja: http://www.wklej.eu/index.php?id=0382f95e6b
Nowa wersja:
(w kolejnym poście jest wersja z inną obsługą wyjątków)

[PHP] pobierz, plaintext 
		interface iSecurity {
		public function read($file);
		public function setExtensions($array);
		public function ExtensionsInfo();
	//	protected function write();
	}
 
	class Security implements iSecurity {
 
		private $extensions = array(
			'jpg' => 'image/jpeg', 
			'jpeg' => 'image/jpeg', 
			'png' => 'image/png', 
			'gif' => 'image/gif', 
			'bmp' => 'image/bmp'
		);
 
		private $path;
		private $file;
 
		public function read($file) {
			$path_info = pathinfo($file);
			if (array_key_exists($path_info['extension'], $this->extensions)) {
				$this->path = $path_info['dirname'];
				$this->file = array('filename' => $path_info['filename'], 'extension' => $path_info['extension']);
				$this->write();
			}else{
				throw new Exception('Plik z tym rozszerzeniem nie są obsługiwane.');
			}
		}
 
		public function setExtensions($array) {
			$this->extensions = $array;
		}
 
		public function ExtensionsInfo() {
			return $this->extensions;
		}
 
		private function write() {
			$temp = $this->path.'/'.$this->file['filename'].'.'.$this->file['extension'];
			if (file_exists($temp)) {
				header('Content-Type: '.$this->extensions[$this->file['extension']]);
				readfile($temp);
			}else{
				throw new Exception('Plik nie może zostać odczytany.');
			}
		}
 
	}
[PHP] pobierz, plaintext 

Przykład użycia:

[PHP] pobierz, plaintext 
try {
$test = new Security;
$test->read('img01.png');
}catch(Exception $e) {
echo $e->getMessage();
}
[PHP] pobierz, plaintext 

Wystarczy dodać warunek np. czy użytkownik jest zalogowany i po sprawie.

Nie ma zabardzo co oceniac bo malo jednak lepsze byloby tak jak mowisz pole publiczne ktore mozna ustawic za pomoca settera i odrazu poprzez dostep do niego z zewnatrz klasy bedzie bardziej przejrzyscie.



Mi przypadl do gustu bardziej wzorzec strategia jest on bardziej taki lopatologiczny i lepiej on wyglada, i tak jak mowisz nie pakuj wszystkiego do jednej klasy tylko zrob klase glowna ktora bedzie implementowala kod podklas.

Tutaj wersja z własną obsługą wyjątków + przykład:

[PHP] pobierz, plaintext 
<?php
 
	class SecurityException extends Exception {
 
		public function asImage() {
			$width = strlen($this->getMessage()) * 6.9 + 30;
			$img = imagecreatetruecolor($width, 50);
			$white = imagecolorallocate($img, 255, 255, 255);
			$black = imagecolorallocate($img, 0, 0, 0);
			imagefilledrectangle($img, 0, 0, $width, 50, $black);
			imagestring($img, 3, 15, 18, $this->getMessage(), $white);
			header('Content-Type: image/png');
			imagepng($img);
			imagedestroy($img);
		}
 
	}
 
	interface iSecurity {
		public function read($file);
		public function setExtensions($array);
		public function ExtensionsInfo();
	//	protected function write();
	}
 
	class Security implements iSecurity {
 
		private $extensions = array(
			'jpg' => 'image/jpeg', 
			'jpeg' => 'image/jpeg', 
			'png' => 'image/png', 
			'gif' => 'image/gif', 
			'bmp' => 'image/bmp'
		);
 
		private $path;
		private $file;
 
		public function read($file) {
			$path_info = pathinfo($file);
			if (array_key_exists($path_info['extension'], $this->extensions)) {
				$this->path = $path_info['dirname'];
				$this->file = array('filename' => $path_info['filename'], 'extension' => $path_info['extension']);
				$this->write();
			}else{
				throw new SecurityException('A file with this extension is not supported.');
			}
		}
 
		public function setExtensions($array) {
			$this->extensions = $array;
		}
 
		public function ExtensionsInfo() {
			return $this->extensions;
		}
 
		private function write() {
			$temp = $this->path.'/'.$this->file['filename'].'.'.$this->file['extension'];
			if (file_exists($temp)) {
				header('Content-Type: '.$this->extensions[$this->file['extension']]);
				readfile($temp);
			}else{
				throw new SecurityException('The file does not exist.');
			}
		}
 
	}
 
	try {
		$test = new Security();
		$test->read('img01.jpg');
	}catch(SecurityException $e) {
		echo $e->asImage();
	}
 
 
?>
[PHP] pobierz, plaintext 

Lepsza wersja z własną obsługą wyjątków czy poprzednia?

Toż to zwykły force - download w dodatku niedopracowany

Czy ja wiem czy taki force - download. To że niedopracowany to wiadomo, czekam na sugestie a potem coś takiego z przykładami dam do gotowych rozwiązań. (dla laików)

O, dzisiaj podobne bzdury pisałem Dodatkowo sprawdzam czy rozszerzenie zgadza się z mime.
Orientujecie się czy getimagesize() może coś dziwnego zwrócić co nie spełni warunku:

[PHP] pobierz, plaintext 
if(!getimagesize($filename)){ throw new...}
[PHP] pobierz, plaintext 

?

A do czego jest ten interfejs i czemu on sluzy ?

Chciałem dodać obsługę dokumentów, nie wiem sam czemu. Ale właściwie nie zaszkodzi niczemu ten interfejs.

No tylko że taki interfejs nie wnosi nic poza tym, że pokazuje że coś Ci tam świta o interfejsach ale za bardzo nie wiesz jak i kiedy je stosować. Do tego ta nazwa kompletnie z kosmosu; poza tym nie trzyma się kanonu *able. Według mnie logiczniej byłoby podzielić interfejs na 2 osobne:

[PHP] pobierz, plaintext 
interface Extendable {
	public function setExtensions(array $array);
	public function ExtensionsInfo();
}
 
interface Readable {
	public function read($resource);
 
}
[PHP] pobierz, plaintext 

ekchmmm...

sorki - może żle zrozumiałem ten temat i może wyjdzie mały oftopick ale... cytuj co zacytowałem to wg. mnie pasowało by w pierwszej kolejności pokazać "wejście/przekierowanie" z adresu obrazka na właściwy skrypt *.php - np. w .htaccess:


i dopiero w skrypciku zrobić co się chce - chyba że akurat Twoje skrypty mają mieć rozszerzenie *.php?? - ale jakby nie było skądś pasuje mieć te dane o rozszerzeniu - czyli jakieś wspomnienie z powiązaniem z bazą danych - choćby z "płaską" bazą danych...

sorki - po kilku piwkach tera może dziwnie piszę ale będąc już w skrypcie php wystarczy sprawdzić co się chce na początku i zwrócić przez return co się chce lub wykonać exit - i nie wiem jak skomplikowane musiało by być zabezpieczenie (no przy własnych sesjach na obiektach ale...) normalnie to raczej procedury jako zabezpieczenie (tylko to co z bazą powiązane jako obiekt)... no i jeśli struktura obrazków połączona z bazą to obiekt - ale ten szkielet co widzę to raczej mi przypomina bardziej weryfikację wgrywanych obrazków na serwer przez własne api...

JAK JUŻ WSPOMNIAŁEM, interfejs miał być implementowany do DWÓCH klas tak więc został zastosowany. A o tym, że to jest bez sensu (z założeń jakie były na początku przy tworzeniu kodu) tak więc nie napisałem drugiej klasy.


...mmmhcke ;/


Bardziej chodzi o sytuację kiedy:

[PHP] pobierz, plaintext 
if ($_SESSION['login'] ===  true) {
try {
$test = new Security;
$test->read('image.png');
}catch(SecurityException $e) {
echo $e->asImage();
}
}else{
// niezalogowany
}
[PHP] pobierz, plaintext 

Mam nadzieję, że rozumiesz. Obrazek tylko dla zalogowanych.


Tego w ogóle nie rozumiem.


To akurat rozumiem, normalna sprawa. Ale nie musisz się chwalić doznaniami z wakacji.



Jaką weryfikację? On odczytuje obrazek z serwera, wysyła nagłówek i potem obrazek. (albo źle Cię zrozumiałem)

właśnie o coś takiego mi chodziło - lub na hotlink... ale nie było sprecyzowane

sorki ale już z Security->read($file) musisz jakoś przekierować zmienną $read ;p - wiem jest na to kilka sposobów - ale jak na temat nie wskazałeś żadnego
Sorki - Ty jesteś dłużej na forum to akurat wiesz, że nie piszę, żeby sobie posty nabijać

no może nie do końca ale trzymając się tematu:

to jeśli odczyt to jakaś weryfikacja danych wejściowych czy ten użytkownik ...
a jeśli wgrywanie plików to raczej czy plik poprawny i czy ten user może wgrać ^^...

sorku za takie komentarze gdyż treściwie piszesz - ale jakby nie było forum jest do wymiany poglądów

Dobrze, że się dogadaliśmy.


Nie rozumiem w czym problem dalej? Zmienna $read? Co mam przekierowywać?

Nie zwracam zbytnio uwagi na to kto nabija a kto nie, ale chyba w hydepark i w ocenach licznik jest wyłączony.

To już pozostawiam programistom, może chodzi o to czy ktoś jest zalogowany, czy ktoś ma x postów na forum, czy ma uprawnienia - nie wiem, jak pozostawię tak jak jest to będzie uniwersalnie. (jeżeli nie rozumiesz to mogę później napisać przykład)

O wgrywaniu w ogólnie nie było mowy.

No do tego służy forum właśnie. A temat powstał po to abym dostał kilka uwag co do kodu.

Hmm, a jaka jest różnica między twoim skryptem na tym?

[PHP] pobierz, plaintext 
<?php
if($zalogowany) {
echo '<img src="obrazek.jpg">';
}
?>
[PHP] pobierz, plaintext 

BARDZO DUŻA
jeśli ktoś się zaloguje w Twoim przypadku i skopiuje adres obrazka i puści to w sieć to ten obrazek jest dostępny dla wszystkich - nie jest w żaden sposób zabezpieczony (a przed czym czy hot linkiem czy zalogowany - w sumie czy zalogowany to i hotlinkować się nie będzie dało ^^) to decyzja programisty....

jednak właśnie dlatego były moje posty gdyż co niektórzy mogli tej różnicy nie widzieć - po to też np. napisałem linijkę z .htaccess by adresy wyglądające jak obrazek były adresami do skryptów php z przekazaniem parametru jaki miał się obrazek wyświetlić - a dopiero skrypt php analizuje czy może się wyświetlić czy nie - skrypt wysyła odpowiednie nagłówki dla przeglądarki a następnie postać binarną pliku...

pisząc o tych "przekierowaniach" lub dopytując się jak to tutaj wygląda chciałem by to było bardziej zrozumiałe dla wszystkich - no w końcu skądś wartość danych zmiennych do analizy musi się brać...

...nic nie stoi na przeszkodzie żeby obrazki wszystkie miały rozszerzenie *.php - jednak naturalniej wygląda jeśli obrazki mają "swoje" rozszerzenie - regułka w .htaccess może być inna niż przedstawiłem wyżej i już można analizować trochu inaczej ale jaka by nie było ta linijka powoduje, że obrazki w kodzie strony wyglądają "normalnie"

Tak. I jeszcze wrzucić do katalogu wykonywalnego. Raj dla włamywacza.

ależ Wy mnie tu nie rozumiecie ;p - same obrazki NIE MOGĄ mieć rozszerzenia *.php!!! - ale żeby było zabezpieczenie jakieś to musisz w kodzie html'a podać adres gdzieś - i jeśli nie znasz .htaccess'a to podajesz do jakiegoś pliku *.php z jakimiś parametrami i w tym pliku decydujesz czy wyświetlić dane czy nie... a jeśli znasz .htaccess to robisz przekierowanie do pliku *.php i tam decydujesz...

no w końcu w kodzie html naturalniej wygląda adres:
<img src="obrazek_smiech.jpg" /> niż np.: <img src="obrazki.php?src=obrazek_smiech&typ=1" /> gdzie typ 1 to np. jpg...

i właśnie ten pierwszy post w temacie i jego ideę moim zdaniem nie wszyscy zrozumieli co potwierdzają dzisiejsze posty ;p

To może ja się wypowiem.
Kiedy i gdzie można to zabezpieczenie stosować. Wyobraźmy sobie, iż mamy portal gdzie użytkownicy dają swoje zdjęcia, jak np. Nasza-Klasa.pl gdzie profile i zdjęcia są dostępne tylko dla zalogowanych (przynajmniej teoretycznie w tym wypadku).

A więc mamy jakiś tam formularz do logowania i do zmiennej:

[PHP] pobierz, plaintext 
$_SESSION['login'] = true;
[PHP] pobierz, plaintext 

przypisujemy wartość TRUE gdy użytkownik podał prawidłowe dane.

Użytkownik przechodzi do galerii i na początku kodu programista daje:

[PHP] pobierz, plaintext 
if ($_SESSION['login'] == true) {
 
// kod
 
}else{
 
// informacja że musisz się zalogować
 
}
[PHP] pobierz, plaintext 

W miejsce kodu wpisujemy np. :

[PHP] pobierz, plaintext 
try {
$test = new Security;
$test->read('user/obrazek.jpg');
 }catch(SecurityException $e) {
$e->asImage();
}
[PHP] pobierz, plaintext 

I zalogowany użytkownik dostanie obrazek.jpg Wystarczy teraz wpiąć to np. w pętlę i jest. (np. dane o obrazkach użytkownika pobieramy po loginie [według folderów])