0

Mi sitio tiene la siguiente estructura de directorios:

study_manager
├── changelog
├── css
├── error_pages
├── html
├── img
├── js
├── logos
├── php
├── phpmailer
│   └── language
├── tmp_files
└── usrs_prof_img

Pues bien en la carpeta tmp_files es la que está usando PHP para almacenar los archivos (temporales) subidos por el usuario, que posteriormente muevo a la carpeta usrs_prof_img en la cual se almacena la imagen de perfil de usuario con el nombre de {user_id}.{png|jpg}

Estos dos directorios tienen los permisos: drwxrwxr-x.

Pues bien, cuando hago una prueba de registro y PHP realiza la siguiente función:

$extension = explode('.',$profIMG["name"]);
$newImgName = $lastID.'.'.end($extension);
$newDirName = '../usrs_prof_img/'.$newImgName;
move_uploaded_file($profIMG["tmp_name"],$newDirName);

$update = $conn->prepare("
    UPDATE users
    SET prof_img = :newDirName
    WHERE id = :lastid
");

$update->execute(array(
    ':newDirName' => $newDirName,
    ':lastid' => $lastID
));

Al hacer esto Apache me devuelve esta advertencia:

move_uploaded_file(../usrs_prof_img/32.png): failed to open stream: Permission denied in /var/www/html/study_manager/php/regist.php on line 141, referer: http://www.example.com/register.php

Se me hace raro que ocurra esto teniendo los permisos que tienen los directorios, de todos modos si cambio los permisos a drwxrwxrwx funciona como es de obviar, pero claro de este modo quien quiera puede editar los archivos de mi directorio, pero lo que me gustaría es que este directorio no fuese ni editable ni visible por nadie, pero si hago esto, luego NO puedo mostrar la imagen en la pagina de perfil del usuario ya que se deniega el acceso, por lo tanto no se si lo mejor sería almacenar las imágenes en un directorio solo accesible por el grupo y después desde PHP enviar la imagen a través del header.

NOTA: esto no está activo al público, solamente lo uso para hacer pruebas.

Gracias de antemano por cualquier ayuda.

8
  • stackoverflow.com/a/8104498/7824492 - creo que ahi esta la respuesta!
    – Exbaby
    el 25 jul. 2017 a las 18:12
  • @Exbaby ya probé eso y nada, pero ese no es exactamente el problema que tengo
    – lromeraj
    el 25 jul. 2017 a las 18:16
  • Muy buenas, ¿te ha valido la respuesta? ¿Necesitas configurar algo más?
    – Sakrow
    el 14 ago. 2017 a las 6:47
  • @Sakrow hola Sakrov, disculpas pero hasta el momento no he podido hacer una prueba a fondo, te avisaré :), pero el problema de los permisos es lo de menos, lo más importante es conseguir que la foto de perfil de usuario solo sea visible para ese usuario, y no que la gente acceda al directorio de imágenes de perfil y las pueda ver todas :/
    – lromeraj
    el 14 ago. 2017 a las 23:57
  • Si quieres que la imagen se cargue en la web, la imagen tiene que ser accesible desde fuera. Lo único que puedes hacer es que el nombre de la imagen sea un md5 o un uuid o algo parecido para que no se puedan "buscar".
    – Sakrow
    el 30 ago. 2017 a las 7:56

1 respuesta 1

0

Dado que es un problema de permisos, te voy a remitir a una pregunta que he respondido hace poco sobre lo mismo:

Carga de CSV Centos 7 problemas PHP

Es muy probable que tu problema sea el mismo, puede que lo estes ejecutando con el usuario apache:apache y ese usuario no tenga permiso en la carpeta a la que lo quieres mover.

Lo mejor es poner FPM y configurarlo correctamente de modo que siempre se ejecute el PHP con el mismo usuario y por tanto te valga con tener miusuario:miusuario en las carpetas que definas como temporales (en FPM) y la carpeta donde lo quieras mover. De ese modo puedes ser más restrictivo con los permisos sin miedo a que falle.

Si tienes problemas para instalar/configurar FPM te puedo pasar un par de versiones del fichero de configuración que seguro que te ayudan.

Lo mejor es que también actualices la pregunta y pongas las versiones que estas usando de PHP y el SO`

Actualización

Otra opción es tener controladas todas las imágenes que vas a tener disponibles y hacer algo como esto, me parece demasiado complicado la verdad, pero todo depende de lo que quieras hacer.

Tampoco entiendo la verdad porque quieres que no se puedan ver la imágenes si se usan como imágenes de perfil.

Otra cosa es que fueran ejecutable os elementos 'bajo demanda' o 'previo pago'

3
  • Por qué quiero que el usuario decida si quiere que su imagen de perfil sea publica a todo el mundo o no...
    – lromeraj
    el 30 ago. 2017 a las 12:06
  • Es un poco ilógico, ¿no? si no quieres que la foto de perfil se vea, no pongas nada. Generalmente si haces referencia a 'foto de perfil' sabes que es publica. Salvo que quieras hacer que algunos la vean y otros no. Para eso te serviría lo que he comentado antes.
    – Sakrow
    el 30 ago. 2017 a las 13:03
  • no a ver, no es como una red social, la imagen de perfil es más decoración para el usuario propio, no para los demás.
    – lromeraj
    el 30 ago. 2017 a las 13:06

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.