允许用户在webroot之外下载文件

Question

您好我使用PHP来允许用户上传文件,出于安全原因,我让他们坐在webroot(/ var/www)文件夹之外的文件夹中.它位于文件夹/ var/uploads中.用户上载特定记录的文件.将上载的文件移动到uploads文件夹后,附件的地址将存储在数据库中.现在,只要用户检查记录,就会显示特定记录的附件以供下载.

由于他们不在webroot,我无法下载,因为他们会有一个网址

HTTP://localhost/var/uploads/attachment.txt

我们有解决方案,还是可下载的文件夹是webroot的子目录？

<?php
$con = mysql_connect("localhost","id","pass");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }

mysql_select_db("db", $con);

$result = mysql_query("select * from attachments");

while($row = mysql_fetch_array($result))
{
echo '<a href="'.$row[2].'" target="_blank">Download</a>--'.$row[3].'<br>';
}

mysql_close($con);
?> 

是我正在使用的代码.文件夹的所有者是www-data:/或Web服务器.所以应该没有访问问题.

Answer 1

使用

• 指向的符号链接/var/uploads(此处为教程)

• Apache Alias指令 Alias /uploads /var/uploads(必须在httpd.conf中)

• 或代理PHP脚本,它接受GET变量filename=upload.jpg并获取文件,例如使用fpassthru()

后者是最不可取的选择,因为它是资源密集型的,但有时它是唯一的选择.它还需要适当的安全措施,以防止攻击者通过代理获取服务器上的其他文件.