草庐IT

php - 禁止在简单的PHP登录系统中访问文件

coder 2024-04-06 原文

我写了这个非常简单的PHP登录系统:

<?php
    session_start();
    $error = '';

    if (isset($_POST['username']) && isset($_POST['password']))
    {
        if ($_POST['username'] == 'user' && $_POST['password'] == 'pass')
        {
            $_SESSION['client'] = 'ok';
            Header ("location: /kit/kit/index.php");
        }
        else
        {
            $error = 'Usuario o contrase&ntilde;a incorrectos.';
        }
    }

?>

不必担心漏洞问题，它不会保护任何有值(value)的东西。

在每个.php页面中，我添加:
<?php
    session_start();

    if (!isset($_SESSION['client']) || $_SESSION['client'] != 'ok')
    {
        Header ("location: /kit/index.php");
        die();
    }

?>

这样可以很好地保护.php session 。

问题在于这不能保护文件。

我的意思是如果直接去:

东西/其他/file.zip

无论您是否登录，它都会下载它。

我希望这个问题很清楚，如果不能，请提出!

最佳答案

要阻止用户查看目录，您需要做的就是在该文件夹中创建索引页。例如:index.htm，index.html，default.htm，default.html。

要阻止用户进入文件夹(例如，阻止任何人查看http://www.yoursite.com/myFolder/)，您可能需要访问Web主机的某些功能。某些主机允许您用密码保护文件或文件夹。您也可以创建.htaccess文件/文件夹

htaccess文件是一个简单的ASCII文件，例如您可以通过文本编辑器(如NotePad或SimpleText)创建的文件。许多人似乎对文件的命名约定有些困惑，所以让我将其排除在外。

.htaccess是文件扩展名。它不是file.htaccess或somepage.htaccess，而是简单地命名为.htaccess

创建文件

为了创建文件，打开一个文本编辑器并将一个空白页另存为.htaccess(或键入一个字符，因为某些编辑器不允许您保存一个空白页)。您的编辑器可能会将其默认文件扩展名附加到名称后(例如:对于记事本，它将调用文件.htaccess.txt)。您需要删除.txt(或其他)文件扩展名才能自己访问－是的，我知道这不是一个字，但这听起来很热衷，不是吗？您可以通过右键单击文件，然后删除所有未显示.htaccess的名称来重命名它。您也可以通过telnet或ftp程序将其重命名，并且您应该对其中的一种熟悉，以免进行解释。

htaccess文件必须以ASCII模式而不是BINARY模式上载。这样可以使文件在服务器上可用，但会阻止浏览器读取该文件，这可能会严重危害您的安全性。 (例如，如果您具有受密码保护的目录，那么如果浏览器可以读取htaccess文件，则它们可以获取身份验证文件的位置，然后对该列表进行反向工程以完全访问您以前保护过的任何部分。在那里防止这种情况的不同方法是:一种是将所有身份验证文件放在根目录上，以使它们无法通过www访问；另一种是通过htaccess系列命令来防止自己被浏览器访问，更多内容是之后)

JUST INCASE阻止用户下载您的文件

将所有可下载的内容存储在文档根目录。这意味着在public_html文件之前。

编辑:更新了以下部分，以显示文件夹结构的图形表示

然后您如何访问它们？ 

work
    downloadableFiles
        downloadables
        -    memberOnlyFile.zip
        -    welcomePackage.zip
        -    memberhshipVideoVideo.mov    
        photos
        -    photo1.jpeg
        -    photo2.jpeg
    publi    c_html
    -   index.htm
        About
        -    about.html             
        -    about.gif
        LogIn
        -    login.htm
        -    loginScreen.htm
        -    loginFancyButton.gif

现在，全世界可以通过您的网站看到的public_html文件夹中的任何内容。

在public_html文件夹之外的任何内容，都不会在您的网站上通过在浏览器的地址栏中键入文件名直接在世界范围内看到。因此，这很不错，因为我们将要保存的所有我们不想授予访问权限的文件都保存在public_html文件夹之外。

现在说，如果您希望某个用户能够下载文件，例如登录的用户，您仍然可以通过具有指向该文件的链接来使该文件可下载。

如果我们位于登录页面，则要访问loginScreen网页，只需写下超链接，如下所示:
<a href="loginScreen.htm">login screen</a>

因为该页面位于同一文件夹中。现在，如果您希望允许用户能够从位于public_html文件夹之外的可下载文件文件夹中下载文件，因为该文件不在该文件夹中，那么您自己就可以像这样引用它:

如果我们在查看loginScreen.htm页面时位于登录文件夹中，那么我们将如何到达该文件夹，您又返回了一个文件夹，因此最终位于public_html文件夹中。然后我们回到另一个文件夹，所以我们在工作文件夹中。

所以到目前为止看起来像这样

../../表示返回两个文件夹。

然后访问memberonlypath.zip，然后需要进入downloadableFiles文件夹，然后需要进入可下载文件，然后可以将其链接到文件memberOnlyFile.zip，这是我们之前要查找的文件。

所以完整的链接现在变成
<a href="../../downloadableFiles/downloadable/membersOnlyFile.zip">download file</a>

这样，用户无法通过简单地在地址栏上键入文件来访问文件，但是如果您像上述一样自己引用文件，则可以下载文件。

希望这可以帮助

PK

关于php - 禁止在简单的PHP登录系统中访问文件，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/3843967/

phpbrhtaccess文件sessionpasswordsprotectionpassword-protection

有关php - 禁止在简单的PHP登录系统中访问文件的更多相关文章

  1. ruby - 使用 RubyZip 生成 ZIP 文件时设置压缩级别 - 2

    我有一个Ruby程序，它使用rubyzip压缩XML文件的目录树。gem。我的问题是文件开始变得很重，我想提高压缩级别，因为压缩时间不是问题。我在rubyzipdocumentation中找不到一种为创建的ZIP文件指定压缩级别的方法。有人知道如何更改此设置吗？是否有另一个允许指定压缩级别的Ruby库？ 最佳答案 这是我通过查看ruby​​zip内部创建的代码。level=Zlib::BEST_COMPRESSIONZip::ZipOutputStream.open(zip_file)do|zip|Dir.glob("**/*")d

  2. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  3. ruby - 其他文件中的 Rake 任务 - 2

    我试图在一个项目中使用rake，如果我把所有东西都放到Rakefile中，它会很大并且很难读取/找到东西，所以我试着将每个命名空间放在lib/rake中它自己的文件中，我添加了这个到我的rake文件的顶部:Dir['#{File.dirname(__FILE__)}/lib/rake/*.rake'].map{|f|requiref}它加载文件没问题，但没有任务。我现在只有一个.rake文件作为测试，名为“servers.rake”，它看起来像这样:namespace:serverdotask:testdoputs"test"endend所以当我运行rakeserver:testid时

  4. ruby-on-rails - 在 Rails 中将文件大小字符串转换为等效千字节 - 2

    我的目标是转换表单输入，例如“100兆字节”或“1GB”，并将其转换为我可以存储在数据库中的文件大小(以千字节为单位)。目前，我有这个:defquota_convert@regex=/([0-9]+)(.*)s/@sizes=%w{kilobytemegabytegigabyte}m=self.quota.match(@regex)if@sizes.include?m[2]eval("self.quota=#{m[1]}.#{m[2]}")endend这有效，但前提是输入是倍数(“gigabytes”，而不是“gigabyte”)并且由于使用了eval看起来疯狂不安全。所以，功能正常，

  5. ruby-on-rails - Rails 3 中的多个路由文件 - 2

    Rails2.3可以选择随时使用RouteSet#add_configuration_file添加更多路由。是否可以在Rails3项目中做同样的事情？ 最佳答案 在config/application.rb中:config.paths.config.routes在Rails3.2(也可能是Rails3.1)中，使用:config.paths["config/routes"] 关于ruby-on-rails-Rails3中的多个路由文件，我们在StackOverflow上找到一个类似的问题

  6. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  7. ruby - 如何将脚本文件的末尾读取为数据文件(Perl 或任何其他语言) - 2

    我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚

  8. ruby - 使用 Vim Rails，您可以创建一个新的迁移文件并一次性打开它吗？ - 2

    使用带有Rails插件的vim，您可以创建一个迁移文件，然后一次性打开该文件吗？textmate也可以这样吗？ 最佳答案 你可以使用rails.vim然后做类似的事情::Rgeneratemigratonadd_foo_to_bar插件将打开迁移生成的文件，这正是您想要的。我不能代表textmate。 关于ruby-使用VimRails，您可以创建一个新的迁移文件并一次性打开它吗？，我们在StackOverflow上找到一个类似的问题： https://sta

  9. ruby-on-rails - 在混合/模块中覆盖模型的属性访问器 - 2

    我有一个包含模块的模型。我想在模块中覆盖模型的访问器方法。例如:classBlah这显然行不通。有什么想法可以实现吗？ 最佳答案 您的代码看起来是正确的。我们正在毫无困难地使用这个确切的模式。如果我没记错的话，Rails使用#method_missing作为属性setter，因此您的模块将优先，阻止ActiveRecord的setter。如果您正在使用ActiveSupport::Concern(参见thisblogpost)，那么您的实例方法需要进入一个特殊的模块:classBlah

  10. Ruby 写入和读取对象到文件 - 2

    好的，所以我的目标是轻松地将一些数据保存到磁盘以备后用。您如何简单地写入然后读取一个对象？所以如果我有一个简单的类classCattr_accessor:a,:bdefinitialize(a,b)@a,@b=a,bendend所以如果我从中非常快地制作一个objobj=C.new("foo","bar")#justgaveitsomerandomvalues然后我可以把它变成一个kindaidstring=obj.to_s#whichreturns""我终于可以将此字符串打印到文件或其他内容中。我的问题是，我该如何再次将这个id变回一个对象？我知道我可以自己挑选信息并制作一个接受该信

随机推荐