Comment puis-je autoriser un utilisateur à télécharger un fichier stocké en dehors du site Web?

Question

Je développe un système qui permet aux utilisateurs enregistrés (qui pourraient être n'importe qui) de télécharger des fichiers. J'ai bloqué mime-types etc pour tenter de restreindre les fichiers aux types .doc, .docx et .pdf, mais pour plus de sécurité, ils sont téléchargés dans un dossier en dehors du webroot.

D'autres utilisateurs peuvent ensuite choisir de télécharger les fichiers. Comment puis-je leur permettre de faire cela? Évidemment, je ne peux pas simplement mettre un lien vers le fichier, car il est en dehors du webroot. Je ne suis pas sûr de savoir comment atteindre le fichier! Je suppose que je peux utiliser les fonctions du fichier php pour obtenir le fichier, mais comment puis-je le 'servir' à l'utilisateur qui l'a demandé?

Quelles sont les implications de sécurité de tout cela?

Merci.

Answer 1

Vous avez besoin d'un script PHP qui effectue les opérations suivantes:

1. Définissez l'en-tête-tête correctement (en fonction de ce que l'utilisateur est en cours de téléchargement)
2. Définissez la longueur du contenu de type de contenu correctement (en fonction du la taille du fichier)
3. Ouvrez le fichier pour la lecture (vous pouvez utiliser fopen)
4. lire le fichier et la sortie de son contenu dans le flux de sortie
5. Fait

Vous pouvez également utiliser la fonction readfile pour faire la même chose. Voici un exemple à partir du site de PHP:

<?php 
$file = 'monkey.gif'; 

if (file_exists($file)) { 
    header('Content-Description: File Transfer'); 
    header('Content-Type: application/octet-stream'); 
    header('Content-Disposition: attachment; filename='.basename($file)); 
    header('Content-Transfer-Encoding: binary'); 
    header('Expires: 0'); 
    header('Cache-Control: must-revalidate, post-check=0, pre-check=0'); 
    header('Pragma: public'); 
    header('Content-Length: ' . filesize($file)); 
    ob_clean(); 
    flush(); 
    readfile($file); 
    exit; 
} 
?> 

Answer 2

Voir les réponses à cette question similaire: Refer to a file outside the website tree for downloading purposes, qui relie la PHP header function manual page.

Answer 3

Vous pouvez mettre votre répertoire de fichiers en racine et appliquer des règles de réécriture de mod pour sécuriser et montrer un chemin virtuel aux utilisateurs au lieu du vrai chemin.

Answer 4

les opérations suivantes:

$fileName = basename($_GET['file']); 
$path = 'path/to/data/'.$fileName; 

// define $mimeType and $isAuthenticated 

if ($isAuthenticated && file_exists($path)) { 
    // serve file 
    header('Content-type: '.$mimeType); 
    header('Content-Disposition: attachment; filename="'.$fileName.'"'); 
    readfile($path); 
} else { 
    // 404 
} 

Cela aura probablement besoin de plus d'en-têtes pour répondre à vos besoins, mais vous devriez avoir une idée de comment cela peut être utilisé.