Acceso archivos restringido

[pituzo]

Feliz Navidad anticipada a todos!

Llevo unos días intentado proteger archivos de mi web mediante sesiones. Puedo ocultar los enlaces, pero una vez visitados por un usuario identificado queda almacenada la url del archivo en ese equipo y puede accederse por otra persona posteriormente aún sin haber iniciado una sesión.

Por tanto me vale tanto una solución para que no se almacene la url del archivo como para impedir accesos no autorizados usando sesiones PHP.

Espero que puedan ayudarme.

Gracias.

[claudiovega]

Comienza explicando como manejas las sesiones, es decir, como las tienes configuradas en php.ini (apartado [SESSION]), que funciones usas para manejar las sesiones en tus scripts, que valor tiene register_globals en php.ini.
A que te refieres con proteger archivos? archivos para descarga? o los scripts php?

[pituzo]

De la configuración no tengo ni idea, miraré a ver qué puedo ver en la información del servidor donde tengo el hosting.

En cuanto al tipo de archivos me refiero a archivos para descarga (video, pdf, doc...)

Siento no haberme explicado bien antes.

[pituzo]

En cuanto a qué funciones uso en mis scripts (estoy lento, lo siento) uso session_start() y session_register() para usar un registro de sesión para saber si está identificado o no.

[Cluster]

Iniciado por pituzo

En cuanto a qué funciones uso en mis scripts (estoy lento, lo siento) uso session_start() y session_register() para usar un registro de sesión para saber si está identificado o no.

NO, no uses session_register() ese método es obsoleto e inseguro.

Para trabajar con sesiones revisa estas FAQ's:
http://www.forosdelweb.com/showpost....&postcount=129

Para proteger un directorio que contenga archivos de todo tipo .. tambien puedes usar autentificación HTTP:

http://www.juque.cl/weblog/2004/12/0...p-con-php.html

Pero .. por supuesto es más "usable" aplicar sesiones para todo el proceso. Esto te obligará a crear scripts que "llamen" a tus archivos .. scripts .php que harán:

1) validar a tu usuario por sesiones
2) leer el archivo de su ubicación física
3) preparar las cabeceras HTTP según el tipo de archivo a enviar.
4) entregar el archivo.


El punto 3 lo puedes hacer con header() y 2/4 se puede hacer con la función readfile()

Revisa los ejemplos de:
www.php.net/header

Un saludo,

[claudiovega]

Nosé si Cluster lo mencionó, pero es mas seguro colocar los archivos a descargar fuera del documentroot, si uno no desea que cualquiera lo descarque.

[Cluster]

Iniciado por claudiovega

Nosé si Cluster lo mencionó, pero es mas seguro colocar los archivos a descargar fuera del documentroot, si uno no desea que cualquiera lo descarque.

Se me pasó hacer mención al tema aquí .. (aunque suelo andar "predicando" eso mismo normalmente).

Gracias por la acotación.

Un saludo,

[jossmorenn]

Porque no obligas la descarga en vez de hacer un link al archivo????

mira este codigo, asi no te quedaria la url guardada en tu browser.

<?php

$id = "archivo.doc";
$enlace = $path_a_tu_doc."/".$id;
header ("Content-Disposition: attachment; filename=".$id."\n\n");
header ("Content-Type: application/octet-stream");
header ("Content-Length: ".filesize($enlace));
readfile($enlace);

?>

[pituzo]

jossmorenn, el código que me has sugerido me funciona a veces. Me explico: lo he probado en local en el servidor que tengo instalado y lo que creo que ocurre cuando no funciona es que copia el archivo a la carpeta temporal de windows y luego no lo encuentra. Querría saber si hay forma de solucionar eso ¿o esto no ocurrirá cuando lo suba al servidor?

Gracias a todos por sus respuestas.

[pituzo]

Se me ha olvidado comentar que ese error solo ocurre cuando elegimos la opción de "Abrir", al guardarlo sí se hace correctamente.

[pituzo]

Solucionado!!

Para que este hilo quede completo comento que la solución la encontré en Solución a problemas de headers:

Simplemente incluyendo estas otras cabeceras

Código PHP:

  Header("Accept-Ranges: bytes");
Header("Expires: 0");
Header("Cache-Control: private"); 
   

Con lo que me ha quedado:

Código PHP:

     // $nombre es el nombre, con extensión, con el que se guarda al descargar.
   $enlace = "../ficheros/".$fichero; 
   header ("Content-Disposition: attachment; filename=".$nombre."\n\n"); 
   header ("Content-Type: application/octet-stream");
   header ("Content-Length: ".filesize($enlace));
   header("Accept-Ranges: bytes");
   header("Expires: 0");
   header("Cache-Control: private");
   readfile($enlace);
   exit; 
   

Eso es todo.