草庐IT

php - 如何在文件系统中存储私有(private)用户图像而不妨碍他们的隐私？

coder 2023-10-26 原文

我有一个项目处理存储用户的敏感私有(private)图像或其他文件。我对在文件系统或数据库中存储图像等文件做了一些研究。

我决定像 facebook 一样将它们存储在 CDN 中。但是，我如何确保某人不会仅仅通过修改 URL 和替换随机字符来破坏他人的隐私？

例如:假设我的CDN文件系统中有两张图片，

由user1上传- https://somecdnlink.com/somelocation/1234abc-5678pqr.jpg

由user2上传- https://somecdnlink.com/somelocation/1234abc-5679pqr.jpg

现在 user2 在上传他们的图片后决定检查图片 url。他们刚刚上传的图像弹出，暴露了它的存储位置。 然后他决定检查如果他递减数字 9 并在那个地方写 8 会发生什么。

这将自动打开 user1 存储在 cdn 服务器中的图像，该图像应该是私有(private)的。

如何确保 user2 无法访问文件系统中其他用户的图像？像巨头这样的 Facebook 如何做到这一点？

图像可能非常大，可能存在大约数百万张这样的图像。

我可以尝试随机化文件名并可能进行散列和其他操作，但是尝试所有可能的排列的暴力攻击很容易暴露大量图片。

此外，在这种情况下，存储在数据库中是否比 cdn 更好？

我正在使用 php 和 mysql。

最佳答案

您可以使用以下方法之一

<强>1。 Security through Obscurity (不推荐，但很简单!)

通过创建足够大的哈希前缀(例如，随机的 64 个字符字母数字)，它的熵对于任何当前的暴力破解方法来说都是一种矫枉过正。如果有人仍然坚持，那么你应该担心其他问题。

不过需要注意的是，您的图像将具有如此庞大的图像名称(尽管我已经在许多网站上看到过这种做法)。

然后你可以通过php算法维护访问控制，至于谁有这个图片的链接。

<强>2。通过 php 流式传输文件。 (推荐，需要额外编码)

通常，每当通过 Apache 访问不可执行文件时，它就会开始输出带有相应 header 的文件内容。但是，如果访问一个可执行文件(Apache 已加载的模块)，Apache 不会直接输出文件，而是将执行请求发送到相应的模块，一旦模块完成脚本的执行，它就会发回输出到 Apache，然后发送到客户端。

在这里你可以制作一个 .php 文件来处理所有的文件访问，你可以在里面执行你想要执行的所有身份验证/授权检查，一旦所有者确认你就可以发送通过 php 文件如下所示。

// After validating the user is logged-in and is the rightful owner of the said file.

// the file you want to send, the user doesnt need to know this, it could we outside of the webroot too, just make sure php has access to it.
$path = "secret/path/to/the/file/to/be/downloaded";

// the file name of the download
$public_name = basename($path);

// get the file's mime type to send the content type header
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime_type = finfo_file($finfo, $path);

// send the respective headers
header("Content-Disposition: attachment; filename=$public_name;");
header("Content-Type: $mime_type");
header('Content-Length: ' . filesize($path));

// stream the file
$fp = fopen($path, 'rb');
fpassthru($fp);
exit;

关于php - 如何在文件系统中存储私有(private)用户图像而不妨碍他们的隐私？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/34988928/

私有何在sectionthehttpsphpmysqlfilesystemscdn

有关php - 如何在文件系统中存储私有(private)用户图像而不妨碍他们的隐私？的更多相关文章

  1. ruby - 使用 RubyZip 生成 ZIP 文件时设置压缩级别 - 2

    我有一个Ruby程序，它使用rubyzip压缩XML文件的目录树。gem。我的问题是文件开始变得很重，我想提高压缩级别，因为压缩时间不是问题。我在rubyzipdocumentation中找不到一种为创建的ZIP文件指定压缩级别的方法。有人知道如何更改此设置吗？是否有另一个允许指定压缩级别的Ruby库？ 最佳答案 这是我通过查看ruby​​zip内部创建的代码。level=Zlib::BEST_COMPRESSIONZip::ZipOutputStream.open(zip_file)do|zip|Dir.glob("**/*")d

  2. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  3. ruby - 其他文件中的 Rake 任务 - 2

    我试图在一个项目中使用rake，如果我把所有东西都放到Rakefile中，它会很大并且很难读取/找到东西，所以我试着将每个命名空间放在lib/rake中它自己的文件中，我添加了这个到我的rake文件的顶部:Dir['#{File.dirname(__FILE__)}/lib/rake/*.rake'].map{|f|requiref}它加载文件没问题，但没有任务。我现在只有一个.rake文件作为测试，名为“servers.rake”，它看起来像这样:namespace:serverdotask:testdoputs"test"endend所以当我运行rakeserver:testid时

  4. ruby - 如何在 Ruby 中顺序创建 PI - 2

    出于纯粹的兴趣，我很好奇如何按顺序创建PI，而不是在过程结果之后生成数字，而是让数字在过程本身生成时显示。如果是这种情况，那么数字可以自行产生，我可以对以前看到的数字实现垃圾收集，从而创建一个无限系列。结果只是在Pi系列之后每秒生成一个数字。这是我通过互联网筛选的结果:这是流行的计算机友好算法，类机器算法:defarccot(x,unity)xpow=unity/xn=1sign=1sum=0loopdoterm=xpow/nbreakifterm==0sum+=sign*(xpow/n)xpow/=x*xn+=2sign=-signendsumenddefcalc_pi(digits

  5. ruby-on-rails - 在 Rails 中将文件大小字符串转换为等效千字节 - 2

    我的目标是转换表单输入，例如“100兆字节”或“1GB”，并将其转换为我可以存储在数据库中的文件大小(以千字节为单位)。目前，我有这个:defquota_convert@regex=/([0-9]+)(.*)s/@sizes=%w{kilobytemegabytegigabyte}m=self.quota.match(@regex)if@sizes.include?m[2]eval("self.quota=#{m[1]}.#{m[2]}")endend这有效，但前提是输入是倍数(“gigabytes”，而不是“gigabyte”)并且由于使用了eval看起来疯狂不安全。所以，功能正常，

  6. ruby-on-rails - Rails 3 中的多个路由文件 - 2

    Rails2.3可以选择随时使用RouteSet#add_configuration_file添加更多路由。是否可以在Rails3项目中做同样的事情？ 最佳答案 在config/application.rb中:config.paths.config.routes在Rails3.2(也可能是Rails3.1)中，使用:config.paths["config/routes"] 关于ruby-on-rails-Rails3中的多个路由文件，我们在StackOverflow上找到一个类似的问题

  7. ruby - 具有身份验证的私有(private) Ruby Gem 服务器 - 2

    我想安装一个带有一些身份验证的私有(private)Rubygem服务器。我希望能够使用公共(public)Ubuntu服务器托管内部gem。我读到了http://docs.rubygems.org/read/chapter/18.但是那个没有身份验证-如我所见。然后我读到了https://github.com/cwninja/geminabox.但是当我使用基本身份验证(他们在他们的Wiki中有)时，它会提示从我的服务器获取源。所以。如何制作带有身份验证的私有(private)Rubygem服务器？这是不可能的吗？谢谢。编辑:Geminabox问题。我尝试“捆绑”以安装新的gem..

  8. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  9. ruby - 如何将脚本文件的末尾读取为数据文件(Perl 或任何其他语言) - 2

    我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚

  10. ruby - 如何在 buildr 项目中使用 Ruby 代码？ - 2

    如何在buildr项目中使用Ruby？我在很多不同的项目中使用过Ruby、JRuby、Java和Clojure。我目前正在使用我的标准Ruby开发一个模拟应用程序，我想尝试使用Clojure后端(我确实喜欢功能代码)以及JRubygui和测试套件。我还可以看到在未来的不同项目中使用Scala作为后端。我想我要为我的项目尝试一下buildr(http://buildr.apache.org/)，但我注意到buildr似乎没有设置为在项目中使用JRuby代码本身!这看起来有点傻，因为该工具旨在统一通用的JVM语言并且是在ruby中构建的。除了将输出的jar包含在一个独特的、仅限ruby​​

随机推荐