關(guān)于Web資源文件權(quán)限的簡單設(shè)置

ddongjian0000 發(fā)布于2019-07-24 10:52 / 1352人閱讀

摘要：整改一些業(yè)務(wù)系統(tǒng)時(shí)，加了資源文件權(quán)限，比如上傳，可能隨機(jī)命名，但總可能被猜到，猜到就能訪問到。否則不會(huì)有效果。

整改一些業(yè)務(wù)系統(tǒng)時(shí)，加了WEB資源文件權(quán)限，比如上傳doc，可能隨機(jī)命名，但總可能被猜到，猜到就能訪問到。

首先，禁止Url文件名直接訪問

以Apache為例，在禁止訪問文件目錄（file_path）下新建 .htaccess

# 單個(gè)文件

# 多個(gè)文件（寫著就不讓訪問了）

   Order allow,deny
   Deny from all

如果是IIS .net，可以在“MIME類型”設(shè)置可訪問的資源文件后綴名

這樣一來，下面兩種方式都無法打開：

1、

http://localhost/images/qwert.jpg

2、

第二步，輸出文件 假設(shè)數(shù)據(jù)表是這樣設(shè)計(jì)的

file_id	file_url	file_user_id
qwert_ooo	qwert.jpg	user1
12345_ooo	12345.jpg	user2

fileread.php 讀取文件


備注：
1.Content-Disposition:


參數(shù)
作用



inline
用默認(rèn)瀏覽器打開非圖片文件（Edge等瀏覽器有效，而Chrome一律選擇下載）


attachment
下載



2.上述代碼，ob_start()和ob_clean()需要一起使用，或者都不要，否則無法輸出任何文件，即使查看Header信息是正確的
官方文檔：輸出緩沖必須已被 ob_start() 以 PHP_OUTPUT_HANDLER_CLEANABLE 標(biāo)記啟動(dòng)。否則 ob_clean() 不會(huì)有效果。
fileread.html 輸出文件


    
    


    


訪問方式
1、
http://localhost/fileread.html
2、
http://localhost/fileread.php?file_id=qwert_ooo

參數(shù)	作用
inline	用默認(rèn)瀏覽器打開非圖片文件（Edge等瀏覽器有效，而Chrome一律選擇下載）
attachment	下載

云服務(wù)器 GPU云服務(wù)器云服務(wù)器上的文件怎么設(shè)置不同的用戶權(quán)限共享文件權(quán)限設(shè)置文件共享訪問權(quán)限設(shè)置文件服務(wù)器權(quán)限設(shè)置

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/35995.html

相關(guān)文章

關(guān)于Web資源文件權(quán)限的簡單設(shè)置

摘要：整改一些業(yè)務(wù)系統(tǒng)時(shí)，加了資源文件權(quán)限，比如上傳，可能隨機(jī)命名，但總可能被猜到，猜到就能訪問到。否則不會(huì)有效果。整改一些業(yè)務(wù)系統(tǒng)時(shí)，加了WEB資源文件權(quán)限，比如上傳doc，可能隨機(jī)命名，但總可能被猜到，猜到就能訪問到。首先，禁止Url文件名直接訪問以Apache為例，在禁止訪問文件目錄（file_path）下新建 .htaccess # 單個(gè)文件 # 多個(gè)文件（寫著就不讓訪問了）...

YacaToy 2019-07-01 11:15 評(píng)論0 收藏0
為什么是無服務(wù)器計(jì)算？第一手AWS lambda測試報(bào)告！

摘要：重新修改圖片大小然后上傳到亞馬遜，是最常見用于解釋事件驅(qū)動(dòng)的示例，計(jì)算即服務(wù)平臺(tái)的仍然保留了這個(gè)例子，如下圖一個(gè)圖片被上傳到一個(gè)桶中，觸發(fā)一個(gè)執(zhí)行函數(shù)的事件。無服務(wù)器架構(gòu)代表了一種非常不同的心態(tài)。為什么一名開發(fā)者應(yīng)該使用AWS Lambda？簡單一句話的說，AWS Lambda-是另外一種事件驅(qū)動(dòng)方式，fu...

acrazing 2019-04-25 16:30 評(píng)論0 收藏0
支持多用戶web終端實(shí)現(xiàn)及安全保障（nodejs）

摘要：每次在命令行中輸入一串命令，敲入回車，終端進(jìn)程都會(huì)一個(gè)子進(jìn)程，用來執(zhí)行輸入的命令，終端進(jìn)程通過系統(tǒng)調(diào)用監(jiān)聽子進(jìn)程退出，同時(shí)通過暴露的輸出子進(jìn)程執(zhí)行信息。父進(jìn)程通過創(chuàng)建該的實(shí)現(xiàn)向子進(jìn)程從設(shè)備的輸入輸出。背景 terminal（命令行）作為本地IDE普遍擁有的功能，對(duì)項(xiàng)目的git操作以及文件操作有著非常強(qiáng)大的支持。對(duì)于WebIDE，在沒有web偽終端的情況下，僅僅提供封裝的命令行接口是完...

kaka 2019-08-21 17:49 評(píng)論0 收藏0
為什么是無服務(wù)器計(jì)算？第一手AWS lambda測試報(bào)告！

摘要：重新修改圖片大小然后上傳到亞馬遜，是最常見用于解釋事件驅(qū)動(dòng)的示例，計(jì)算即服務(wù)平臺(tái)的仍然保留了這個(gè)例子，如下圖一個(gè)圖片被上傳到一個(gè)桶中，觸發(fā)一個(gè)執(zhí)行函數(shù)的事件。無服務(wù)器架構(gòu)代表了一種非常不同的心態(tài)。為什么一名開發(fā)者應(yīng)該使用AWS Lambda？簡單一句話的說，AWS Lambda-是另外一種事件驅(qū)動(dòng)方式，function-as-a-service就像Microsoft Azure 的函數(shù)計(jì)算...

FuisonDesign 2019-04-25 17:49 評(píng)論0 收藏0
web認(rèn)證機(jī)制

摘要：最近讀了幾篇大牛的博客才對(duì)認(rèn)證機(jī)制方面有了進(jìn)一步了解。盡管在服務(wù)器端可以優(yōu)雅地使用技術(shù)如攔截器或動(dòng)態(tài)代理對(duì)所有進(jìn)行前置的登錄驗(yàn)證。認(rèn)證方式比較支持問題和其實(shí)是緊密相聯(lián)的。第三方授權(quán)問題采用傳統(tǒng)認(rèn)證方式，若要訪問業(yè)務(wù)，一定要先登錄。引言以前對(duì)認(rèn)證這方面的認(rèn)識(shí)一直不太深刻，不清楚為什么需要token這種認(rèn)證，為什么不簡單使用session存儲(chǔ)用戶登錄信息等。最近讀了幾篇大牛的博客才對(duì)認(rèn)...

fai1017 2019-07-31 10:04 評(píng)論0 收藏0