Ben kimlik doğrulama işlemek ve sonra ihtiyacınız dosyaları geri dönmek için bir PHP yükleyici kullanarak düşünün. Yerine yapmanın Örneğin <img src='picture.jpg' /> <img src='load_image.php?image=picture.jpg' /> gibi bir şey yapın.

Sizin görüntü yükleyici, oturumları doğrulamak vb kimlik kontrol ve sonra tarayıcıya istenen dosyayı geri dönmek isteyip istemediğinize karar verebilirsiniz. Bu kimse sadece onları WGET veya 'yanlışlıkla' oraya atmak için gidiyor böylece web erişilebilir kök dışında güvenli tüm dosyaları saklamak için izin verir.

Sadece PHP doğru başlıklarını dönmek ve php readfile gibi bir şey () yapmayı unutmayın ve bu tarayıcıya dosya içeriğini dönecektir.

Ben birkaç büyük ölçekli güvenli web sitesinde bu çok kurulum kullandık ve bir cazibe gibi çalışır.

Düzenleme: Ben şu anda inşa ediyorum sistem Javascript, Görüntü ve video yüklemek için bu yöntemi kullanır ama CSS biz güvence ile çok endişeli değildir.

Ben aynı konuda bir şey düşünüyordum. Ben PHP motoru servis edilir her küçük kaynak için çalışan ile eşit derecede memnun değilim. Farklı bir odaklanma ile olsa ben, here birkaç ay önce aynı damarda bir soru sordu.

Bir rewrite map, kullanıcının kimlik bilgilerini doğrular ve ya uygun bir kaynak ya da bir "erişim engellendi" sayfası için onları yönlendirir oluşturun.

Htaccess dosyalarının içeriğini bakımı bir kabus olarak görünüyor. Ayrıca, belirtilen objektif users client ip addresses bu içeriğe erişmesini olmayan kimlik doğrulaması olmayan non-doğrulanmış önlemek için - yani yaklaşım amaç için uygun değildir:

Birden fazla kullanıcı aynı IP adresinden gelen görünebilir

Tek kullanıcıların oturum birden adreslerinden gelen görünebilir.

I worry that my first solution could get pretty expensive on the server as the number of users and files they are accessing increases

Eğer liç içeriği engellemek istiyorsanız ve HTTP authenitcation kullanmak istemiyorsanız o zaman mantık ek bir katmandaki tüm dosya erişimini sarma tek mantıklı bir seçimdir. Bunu test ettik - Ayrıca, bu is bir sorun için PHP kullanarak bu bilmiyorum? Ben bir opcode önbellek kullanmak özellikle, bunu teslim olabilir, sadece ne kadar verim şaşıracaksınız düşünüyorum.

Ben mime tipi ve önbelleğe alma gibi sarıcı adresleri konuların 'sadeleştirme' tahmin ediyorum.

C.

X-Sendfile

There's a module for Apache (and other HTTP servers) which let's you tell the HTTP server to serve the file you specify in a header in your php code: So your php script should look like:

// 1) Check access rights code
// 2) If OK, tell Apache to serve the file
header("X-Sendfile: $filename");

2 olası sorunlar:

1. Sen (. Htaccess yapılandırma dosyalarına doğrudan erişim etkin veya) kurallarını yeniden yazmak için erişim ihtiyacı
2. Sen yüklü Apache eklendi mod_xsendfile modülü gerekir

Here's a good answer in another thread: http://stackoverflow.com/a/3731639/2088061

Ben dinamik bir web uygulaması yazdı ve Webshere Application Server üzerinde konuşlandırılmış ve burada benim statik dosyaları güvenli nasıl yoludur:

İlk eklendi

<login-config id="LoginConfig_1">
  <auth-method>FORM</auth-method>
    <realm-name>Form-Based Authentication</realm-name>
      <form-login-config>
        <form-login-page>/login.html</form-login-page>
        <form-error-page>/login_error.html</form-error-page>
       </form-login-config>
</login-config>

Form tabanlı kimlik doğrulaması (giriş kullanmak için kod aşağıda verilmiştir) kullanmak için web sunucusu söyleyecektir Web.xml.

Giriş sayfasına kod:

<form id="form1" name="form1" method="post" action="j_security_check" style="padding: 0px 0px 0px 12px;">
        Username: 
          <label>
          <input name="j_username" type="text" class="font2" />
        </label>

        <br />
        <br />
        Password:
        <span class="font2" >
        <label>
      <input name="j_password" type="password" class="font2" />
      </label>
      </span> 
        <br />
        <br />
            <label>
        <input type="submit"  class="isc-login-button" name="Login" value="Login" />
        </label>
    </form></td>

Form tabanlı bir giriş gerçekleşmesi için LDAP veya veritabanı olabilir belirli bir kullanıcı registory kullanmak için web sunucusu yapılandırmak zorunda.

Size güvenli kaynaklar beyan ve kullanıcı bu kaynakları konteyner erişmeye çalıştığında otomatik olup olmadığını kullanıcı kimlik doğrulaması ya da olmadığını denetler edebilirsiniz. Hatta güvenli kaynakları ile de roller ekleyebilirsiniz. Bunu yapmak için benim Web.xml aşağıdaki kodu eklemiş

<security-constraint>
        <display-name>Authenticated</display-name>
        <web-resource-collection>
            <web-resource-name>/*</web-resource-name>
            <url-pattern>/*</url-pattern>
            <http-method>GET</http-method>
            <http-method>PUT</http-method>
            <http-method>HEAD</http-method>
            <http-method>TRACE</http-method>
            <http-method>POST</http-method>
            <http-method>DELETE</http-method>
            <http-method>OPTIONS</http-method>
        </web-resource-collection>
        <auth-constraint>
            <description>Auth Roles</description>
            <role-name>role1</role-name>            
            <role-name>role2</role-name>            
        </auth-constraint>
    </security-constraint>

    <security-role>
        <role-name>role1</role-name>
    </security-role>
    <security-role>
        <role-name>role2</role-name>
    </security-role>

O rolü role1 ve role2 altında oturum kadar Yani bu kodu (beri / *) kullanıcı herhangi bir statik dosyasına bakın izin vermez. Yani bu yolla sizin kaynaklarınızı koruyabilirsiniz.

Eğer apache kullanıyorsanız, ya. Htaccess veya httpd.conf dosyasında, aşağıdaki gibi yapılandırabilirsiniz. Aşağıda *. Inc dosyasına erişimi engellemek için bir örnektir. Büyük ölçüde benim için çalışıyor.

<Files ~ "\.inc$">
Order allow,deny
Deny from all
</Files>

Daha detaylı bilgi için bakınız: http://www.ducea.com/2006/07/21/apache-tips-tricks-deny-access-to-certain-file-types/.