4

Pongo un análisis a mi pregunta, imaginamos que tenemos un login donde el usuario inicia sesión, y es redirigido a una página protegida mediante una sesión. La página protegida podría quedar algo como:

if (isset($_SESSION['usuario'])) {  
    if (!filter_var($_SESSION['usuario'] ?: '', FILTER_VALIDATE_INT) === false) {
          $id_usuario = $_SESSION['usuario'] ?: '';
    } else {        
          //Destruimos sesion.
         session_destroy();
         //Redirigimos a login.
         header('location: tulogin.php');
         exit();
    }   
} else { //Caso Falso, Redirigimos a login.
    header('location: tulogin.php');
    exit();
}

Ahora viene mi pregunta, existe algún modo de poder proteger archivos de descargas en la página protegida por usuarios que no iniciaron sesión o no están registrados.

<a href="http://descargar.php/archivo_winrar.rar">Descargar</a>

Ya que si uno obtiene la dirección de nuestra URL podría descargar dicho contenido sin tener acceso. Sería interesante un ejemplo práctico con explicación, gracias antemano.

3
  • Una opción es sacar los archivos fuera de la carpeta raiz de tu dominio de modo que no se pueda acceder mediante URL.
    – user7176
    Commented el 21 nov. 2016 a las 15:21
  • Hola @blonfu estoy buscando una solución parecida a esta pregunta? Pero a la idea que indicas suena interesante! Podrías responder un ejemplo más explicativo a esta pregunta basada a la idea que mencionas en su comentario.
    – Otto
    Commented el 26 dic. 2016 a las 22:33
  • @J.Doe lo único que hay que hacer es sacar el archivo de la raíz del sitio. Si por ejemplo tu carpeta raíz es www_public ponerlo al mismo nivel y no podrás acceder por URL porque el dominio apunta a www_public y el archivo está fuera. Sin embargo puedes hacer una llamada desde tu código con una ruta relativa.
    – user7176
    Commented el 26 dic. 2016 a las 23:29

3 respuestas 3

1

Guarda el archivo con los permisos adecuados para que nadie pueda acceder directamente.

Una vez comprobado que el usuario esté registrado, puede descargar el archivo.

<?php
session_start();

if (isset($_SESSION['usuario'])) {

    $file = '/directorio/archivo_winrar.rar';

    header('Content-type: application/x-rar-compressed');
    header('Content-length: ' . filesize($file));
    readfile($file);

} else {

    echo 'No tienes permiso para la descarga';
}

Fuente: Allow logged in user to Download File

1
  • 1
    Algo como esto había leído @aldanux con la función header(), añadiendo sus permisos, he comprobado el ejemplo y funciona correctamente.
    – D.Bulten
    Commented el 21 nov. 2016 a las 16:36
1

Esto lo podrías solucionar si en lugar de enlazar directamente el archivo, enlazases a una página de descarga que tome como parámetro un identificador de fichero.

En esa página de descarga podrías seguir un algoritmo como éste:

  1. Comprueba que el identificador de fichero es válido (p.e. en una base de datos)
    1. Si no lo es, muestra mensaje de error y termina
  2. Comprueba que el usuario está registrado
    1. Si no lo está, redirecciona al login
  3. Ajusta los valores del header a los del tipo de fichero a devolver
  4. Lee el fichero
  5. Devuelve el fichero

El usuario tendrá la impresión de que el fichero se descarga, pero si comparte el enlace con algún usuario que no está registrado y logueado no le funcionará.

0

Yo lo que haría sería poner el archivo en una carpeta con "nombre codificado" y cambiarlo cada vez que se hace una descarga, guardar ese "nombre-codificado" en una tabla mia y listo.

Por ejemplo. Pongo el archivo en una carpeta de nombre "a574930fg09" y guardo ese nombre en una tabla. Cuando un usuario habilitado quiere descargarlo, accede al link "/a574930fg09/superarchivo.png".

Ese link puede cambiar o todos los días o cada 10 minutos... o cuando quieras! y solo el sistema sabe el link. Si alguien quiere compartir ese link solo va a servir por "el tiempo de renovacion" lo cual no suele ser muy util.

2
  • Pero no está protegido al 100%, ya que depende de la actualización, aunque sea 5 min o 10 min, sería suficiente para descargar un archivo .rar
    – D.Bulten
    Commented el 21 nov. 2016 a las 16:02
  • claro, pero entiendo que la idea es evitar que alguien suba un link a un sitio y lo deje ahi para compartir con todos... eso no podría suceder! Y a lo sumo, puedes poner 30 segundos (lo que tarda en iniciar una descarga) Commented el 23 nov. 2016 a las 12:03

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.