10

¿Cómo puedo ocultar la Urls original del archivo? y a la vez generar Urls únicas de un solo uso o de una sola visita ejemplo:

De:

example.com/archivo/video.mp4

A:

example.com/files/videos/premium/782d1a1a7/a0a34c39995e1fa95efdbf5.mp4

Urls únicas

Es decir si el usuario ya visito la siguiente Urls

example.com/files/videos/premium/782d1a1a7/a0a34c39995e1fa95efdbf5.mp4

Mostrar un mensaje de error

El enlace solicitado ha caducado.

La Urls ya visitada ya no este disponible y a la vez generar una nueva Url en la base de datos para así evitar que el enlace o los enlaces sean compartido.

La dirección de la Urls sera por medio de la base de datos, y así al visitar la Url del archivo crear un Update de la nueva url.

Mi idea tabla archive.sql

id          url_generate
1      a0a34c39995e1fa95efdbf5

Generador de la Url PHP

function generateRandomString($length = 100) { 
    return substr(str_shuffle("0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ"), 0, $length); 
}

?>

<div><?php echo generateRandomString(); ?></div>

¿Me pueden explicar como plantear el código php?

Un ejemplo sencillo de cómo funcionaría.

8
  • J. Mick, me parece que desafortunadamente tu pregunta es muy amplia. El caso es que pueden existir varias formas de lograr este objetivo (aun cuando unas sean mejores, mas seguras o mas eficientes que otras), por lo que básicamente estas preguntando "¿como harian uds esto....?" Te invito a editar tu pregunta y presentar lo que al momento has intentando y con que problemas te has enfrentado. Si no te es posible esto, te recomiendo darte una vuelta por el Chat de Stack Overflow en español y obtener ideas de alli y quizas borrar tu pregunta. Commented el 22 ago. 2017 a las 18:31
  • @Kenny La he editado, creo que si la realizo en dos partes la pregunta no sera muy amplia, es difícil crear preguntas bienvenidas. :)
    – J. Mick
    Commented el 22 ago. 2017 a las 18:47
  • Con un uuid y... ¿para qué quieres conservar la extensión?
    – toledano
    Commented el 22 ago. 2017 a las 18:51
  • @toledano amigo la planteado a la imaginación pero la extensión no es importante en realidad porque la idea es proteger la url original y generar una tras otra por visita única, url de un solo uso, mirando bien puse de más la extensión :)
    – J. Mick
    Commented el 22 ago. 2017 a las 19:18
  • Nose si puedes o deseas usar javascript, pero una opcion podria ser usar javascript y crear url de tipo blob(youtube lo usa en sus archivos).
    – Risa__B
    Commented el 26 ago. 2017 a las 4:05

3 respuestas 3

4
+25

Primero, extrayendo la idea básica, el sistema tiene en algún lado un archivo al que se quiere dar un acceso selectivo a través de un identificador único que caduque cuando se usa.

Segundo el identificador es parte de la Url.

Por la primera parte se necesita:

1) El archivo debe estar en un directorio no público de forma que no sea posible siquiera adivinar la url real. Pero php debe poder leer ese directorio para llegado el momento bajar el archivo.

Por ejemplo si el sitio está siendo servido de /home/public_html, los archivos a bajar se guardarían en /home/archivos_privados.

2) El sistema para dar acceso debe generar un string aleatorio, asociarlo al archivo físico y guardar esa asociación en algún lado hasta que se use. Puede ser en la sesión o en una tabla de la base de datos. A efectos de esta pregunta se usaría una tabla en la base de datos que permite persisitir el link incluso después de que la sesión se haya terminado.

Ejemplo: Para el archvivo /home/archivos_privados/un_archivo.pdf se genera un string 'XcV34kP56tF' y se guardan en la tabla tabla_asociaciones en la base de datos.

La tabla tabla_asociaciones debe tener minimamente dos columnas:
nombre_archivo_real
codigo_aleatorio

Para insertar los datos:

$nombre_archivo = 'un_archivo.pdf';  
$codigo_aleatorio = 'XcV34kP56tF'  

//SQL para insertar

Insert into tabla_asociaciones (nombre_archivo_real, codigo_aleatorio) 
values ($nombre_archivo, $codigo_aleatorio); //Al implementarlo usar prepared statements para evitar sql injection

Nota: Como el path es igual para todos no es necesario guardarlo en la base, se puede pegar después.

3) Ya con el string aleatorio puede armar la url y bajarla como link en la respuesta. La url debe tener una primera parte que identifique que se quiere descargar el archivo y la última parte del path, sería el identificador aleatorio.

Ejemplo de url:

http://www.misitio.com/descargar/XcV34kP56tF

ACLARACIÓN en base al comentario de @J.Doe sobre ambiente de desarrollo:

En caso de desarrollo local, en el archivo hosts tanto de linux como de Windows se puede relacionar a www.misitio.com con 127.0.0.1 que es la ip de localhost. Con este cambio y seteando el virtual host de XAMP a www.misition.com, podemos desarrollar localmente usando el FQDN. Para ir al sitio real en iternet, después, solo hay que comentar la linea del archivo con #.

Para la segunda parte:

1) Se implementa un rewrite rule (por ejemplo en el .htaccess de Apache) que reconoce la primera parte del path del request que indica bajar un archivo, entonces aplica la regla que toma la parte del identificador aleatorio, y redirige al programa php que va a hacer la bajada, agregando la parte aleatoria como un paramétro del request.

Siguiendo el ejemplo, el rewrite rule, reconoce el patrón del path 'descargar/' seguido de la porción del path que tiene la asociación al archivo real. Y para poder usar este último como parámetro lo capturamos en un grupo.

Reconoce: http://www.misitio.com/descargar/XcV34kP56tF
Y guarda como grupo 1: XcV34kP56tF

Finalmente redirige a la nueva url:

http://www.misitio.com/descargar_archivo.php?archivo=XcV34kP56tF

En el archivo .htaccess se agregan las siguientes líneas par lograr esto:

RewriteEngine On
RewriteRule ^descargar\/(.+)$ http://misitio.com/descargar_archivo.php?archivo=$1 [R=301,L]

2) El programa descargar_archivo.php decodifica el id aleatorio que le llega como parámetro usando la asociación que estaba hecha de antemano en la tabla, y procede a descargar el archivo leyéndolo con su nombre real.

El programa en nuestro ejemplo sería descargar_archivo.php y el parámetro archivo.

descargar_archivo.php (Pseudocodigo para mostrar la lógica relevante)

$llave_al_archivo = $_GET['archivo'];

<Sanitizar $llave_llave_al_archivo>

//Buscar en la base de datos el archivo real
Select nombre_archivo_real 
from tabla_asociaciones 
where codigo_aleatorio = $llave_al_archivo;

if(resultado_query !== false){
    $nombre_real = resultado_query['nombre_archivo_real'];
    $archivo_real_con_path = '/home/archivos_privados/' . $nombre_real
    if(file_exists($archivo_real_con_path) === true){
        header('Content-Type: application/octet-stream');
        header('Content-Disposition: attachment; filename=' . $nombre_real);
        header('Pragma: no-cache');
        readfile($archivo_real_con_path);

        //Correr query para eliminar la asociación de forma que no se pueda volver a usar

        delete from tabla_asociaciones 
        where codigo_aleatorio = $llave_al_archivo;

    }else{
        //Reportar error interno, quizás el archivo existía y lo borraron.
    }    

}else{
  //Reportar error archivo no existe o ya fue bajado.
} 

3) Una vez descargado el archivo, el programa elimina la asociación de la tabla de la base de datos. Por lo tanto si se vuelve a utilizar ya no encontrará el archivo y dará ese link como inválido y devolvería un mensaje de error en el response.

9
  • @Jaun El concepto es bueno, Pero creo que el ejemplo complica a un desarrollador cuando su servidor es localhost todos los trabajos se los realiza como prueba primeramente desde un servidor local, antes de subir el proyecto al servidor, creo que una solución es crear una carpeta privada con htaccess en el mismo directorio donde se encuentra el proyecto, otro punto es que la Url generada al nuevo archivo debe ser por medio de la base de datos, actualizar una nueva después de que se haya visitado es lo que se da entender en la pregunta.
    – Otto
    Commented el 25 ago. 2017 a las 15:18
  • @J.Doe 1) La complicación es la misma si el servidor es remoto o seteado en tu máquina local con un XAMP. Hacer esto tiene su complejidad. 2) Si no es posible colocar el archivo fuera del document root por las políticas del hosting, la alternativa de usar una carpeta protegida con .htaccess es factible, aunque de ser posible sería mejor la primera solución. 3) La solución que plantié da las dos alternativas, o usar un array en la sesión o usar una tabla de la base de datos. Para la pregunta coincido que sería la opción de la base de datos.
    – Juan
    Commented el 25 ago. 2017 a las 19:57
  • @J.Doe Edité la respuesta acotándola a la solución con base de datos y agregué información adicional para desarrollar localmente con el FQDN real.
    – Juan
    Commented el 25 ago. 2017 a las 20:06
  • @Juan La documentación amigo es perfecta, pero me podrías ayudar con un ejemplo sencillo de como plantear la incógnita, estoy perdido, de poder generar código aleatoria y de insertar el registro perfecto hasta ahí pero de ahí no puedo avanzar.
    – J. Mick
    Commented el 25 ago. 2017 a las 20:31
  • Agregué bastante pseudo código y código como para que puedas atar las piezas. Si algo no queda claro avisame. También cabe aclarar que los pasos 1, 2 y 3 hasta que se devuelve el link ocurren como parte de un programa php que termina bajando el link como parte del html que devuelve como response.
    – Juan
    Commented el 25 ago. 2017 a las 22:18
-1

Se me ocurre algo así: 1. Sólo usuarios autenticados pueden descargar archivos, en el caso se pasen el link del archivo y aquel que quiera descargar no tiene un usuario, el sistema lo redirige al login. 2. Crear permisos por usuario para cada archivo. 3. Crear un middleware que valide los permisos antes de descargar. 4. Puedes usar laravel para todo esto.

-2

Tablas Relacionales

No creo que sea necesario enmascarar la url para evitar la descarga de archivos, podrías simplemente implementar una tabla de relaciones entre los archivos y tus usuarios y desde ahí validar que página puede acceder y a cual no.

Con esto incluso puedes manejar mejor las ventanas de tiempo que tendría cada usuario agregando fechas de acceso.

Tabla Relacional

UsuarioID | ProductoID | Status | DatetoEnd

Con esto solo permitirías el llamado a la página solicitada después de haber validado el estatus en la tabla desde los cookies de autenticación.

2
  • Pero que pasa si el usuario obtiene la url de descarga del archivo, si desde el navegador al descargar un archivo se puede ver la ruta de descarga del archivo, Puedes ayudarme con un ejemplo amigo.
    – J. Mick
    Commented el 25 ago. 2017 a las 23:09
  • Usas una pagina tipo download.php y ahi validas si el usuario esta logoneado y debe poder descargar el archivo, algo así if($usuariopago === true) { $filename = 'Archivosecreto.pdf'; //Lo que se debe displayar $file = './download/pdf/secretlink.pdf'; header('Content-type: application/pdf'); header('Content-Disposition: inline; filename="'.$filename.'"'); header('Content-Length: ' . filesize($file)); @readfile($file); exit; }
    – Tridam
    Commented el 28 ago. 2017 a las 14:10

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.