0

Buenas tardes

Esto se puede hacer? Tengo un servidor apache con una aplicación desarrollada en php(yii2), mi "problema" es el siguiente, la app tiene validación por usuario y contraseña, si estas logueado en el sistema puedes acceder una pagina donde se incrustan unos vídeos que esta en una carpeta llamada "videos", mi duda es como puedo proteger esta carpeta llamada vídeos para que nadie pueda entrar a ella(bueno tal vez solo los que están logueados) y consultar los videos poniendo la ruta por ejemplo misitio.com/videos/video1.mp4

ya tengo un index en esa carpeta y un .htaccess IndexIgnore *.mp4 para que no muestre la lista de archivos, pero aun así si alguien que no esta logueado conoce el nombre de un archivo puede visualizarlo, quiero que solo se pueda ver estos vídeos atraves de la pagina de donde se incrustan.

¿como puedo evitar esto?

3
  • Con .htpasswd httpd.apache.org/docs/current/programs/htpasswd.html
    – toledano
    Commented el 26 may. 2017 a las 16:27
  • El método .httpasswd (HTTP AUTH) envía las credenciales en texto plano por la red en cada petición! Revisa mi respuesta para hacerlo con PHP por medio del session_id()
    – Solrac
    Commented el 26 may. 2017 a las 17:40
  • Hola @Kamilo. Por favor no utilices el cuerpo de tu pregunta para escribir una respuesta. Si alguna respuesta solucionó tu problema, se puede aceptar haciendo click en el ✔️ a la izquierda de la misma. De lo contrario, lee Cómo preguntar para ver qué debería ser un formato de pregunta aceptado en el sitio
    – Mariano
    Commented el 26 may. 2017 a las 18:55

2 respuestas 2

2

Paso 1

Si quieres evitar que se listen los archivos/carpetas del directorio que quieres proteger, en el archivo .htaccess de la misma escribes esto:

Options -Indexes

Con ello evitas que se pueda listar el contenido de la carpeta. Si en la misma no existe el archivo .htaccess lo creas. Si quieres que se pueda listar el contenido, has de obviar este paso y pasar al siguiente.

Paso 2

Luego escribes esto en el .htaccess y guarda los cambios:

AuthType Basic
AuthName "restricted area"
AuthUserFile /ruta-del-archivo-htpasswd/.htpasswd
require valid-user

Nota: debes escribir la ruta real de tu archivo .htpasswd

Paso 3

Generas una clave encriptada para colocarla en el archivo .htpasswd. Puedes usar este sitio, u otro de tu preferencia. En el sitio escribes un nombre de usuario, ejemplo pepe y una contraseña algo familiar, ejemplo datosalfa22 y pulsas el botón Create .httpasswd file, entonces te generará algo parecido a esto:

pcedano:$ade1$QcjBX6wX$KV1pQdmnpv3ZjDWytu282/

debes copiar esa cadena que te genere en tu archivo .htpasswd y guardar.

Paso 4

¡Todo listo! Cuando intentes entrar en tu carpeta te pedirá un nombre de usuario y contraseña, introduce tu usuario familiar, digamos... pepe y tu contraseña familiar, digamos... datosalfa22y podrás acceder a tu carpeta.

De este modo la carpeta queda protegida por contraseña.

1

Tienes un par de opciones:

Implementar HTTP AUTH por medio de .htaccess

Se trata de solicitar usuario y contraseña en los headers HTTP para que puedan tener acceso a TODOS los recursos de dicha carpeta. Esta solución es impractica e insegura porque tienes que transportar las credenciales de acceso en cada petición. Se colocan las siguientes líneas en un archivo .htaccess en la carpeta que quieres proteger:

AuthType Basic
AuthName "Restricted Files"
AuthBasicProvider file
AuthUserFile "/var/www/passwords"

Luego agregas un uno o más usuarios con el comando:

htpasswd -c /var/www/passwords usuario

Al intentar ingresar a la carpeta o a un archivo dentro de ella tu browser te pedirá usuario y contraseña. Para integrar esto a tu app web, todas las peticiones a estos recursos deben llevar los headers de autenticación.

Dejarle la seguridad y transporte a PHP (Mejor solución)

Se trata de de servir los archivos de cualquier directorio dentro de tu servidor por medio de PHP, un script que reciba el nombre de archivo, revise los permisos para una sesión dada y sirva el archivo bajo las reglas de negocio que tu quieras.

Por ejemplo, la URL http://servidor/descarga.php?archivo=video354.avi descargaría el archivo solo cuando el usuario tenga iniciada una sesión y podemos agregar cualquier permiso explícito como que sea el uploader del mismo.

Tengo un ejemplo AQUÍ que es una respuesta a una pregunta similar.

Échale un vistazo, si tienes dudas al respecto estaré feliz de ayudarte.

0

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.