如何保护您网站上的文件

Question

我将让客户上传包含敏感信息的pdf文件。我打算将目录放在public_html之外。当客户想要下载他/她的文件时，他们将获得一个PHP链接来验证他们。我能做些什么来保护这些文件？

Answer 1

• 将文件放在docroot之外，
• 使临时链接（www.oink.com/abd73df10e92/whatever.pdf）过期，
• 从不直接链接文件，使用php包装器读取文件内容
• 从不使用存储的文件名
• 确保文件具有最少的权限
• 如果文件非常敏感，请仅通过HTTPS提供

Answer 2

是的 - 您可以实施“一次性下载”链接：从有效的用户会话中，您生成一个链接，当访问该链接时，服务器端会重定向到相关文件。

在您的链接处理程序中，您通过会话cookie（或任何机制）验证访问该链接的人员是否有权访问该文件。

Answer 3

我认为这种方法没有任何问题。您可能需要登录密码，并使唯一可用的下载链接与用户帐户关联。当然，这也可以通过SSL完成。