Mi sitio tiene la siguiente estructura de directorios:
study_manager
├── changelog
├── css
├── error_pages
├── html
├── img
├── js
├── logos
├── php
├── phpmailer
│ └── language
├── tmp_files
└── usrs_prof_img
Pues bien en la carpeta tmp_files
es la que está usando PHP para almacenar los archivos (temporales) subidos por el usuario, que posteriormente muevo a la carpeta usrs_prof_img
en la cual se almacena la imagen de perfil de usuario con el nombre de {user_id}.{png|jpg}
Estos dos directorios tienen los permisos: drwxrwxr-x
.
Pues bien, cuando hago una prueba de registro y PHP realiza la siguiente función:
$extension = explode('.',$profIMG["name"]);
$newImgName = $lastID.'.'.end($extension);
$newDirName = '../usrs_prof_img/'.$newImgName;
move_uploaded_file($profIMG["tmp_name"],$newDirName);
$update = $conn->prepare("
UPDATE users
SET prof_img = :newDirName
WHERE id = :lastid
");
$update->execute(array(
':newDirName' => $newDirName,
':lastid' => $lastID
));
Al hacer esto Apache me devuelve esta advertencia:
move_uploaded_file(../usrs_prof_img/32.png): failed to open stream: Permission denied in /var/www/html/study_manager/php/regist.php on line 141, referer: http://www.example.com/register.php
Se me hace raro que ocurra esto teniendo los permisos que tienen los directorios, de todos modos si cambio los permisos a drwxrwxrwx
funciona como es de obviar, pero claro de este modo quien quiera puede editar los archivos de mi directorio, pero lo que me gustaría es que este directorio no fuese ni editable ni visible por nadie, pero si hago esto, luego NO puedo mostrar la imagen en la pagina de perfil del usuario ya que se deniega el acceso, por lo tanto no se si lo mejor sería almacenar las imágenes en un directorio solo accesible por el grupo y después desde PHP enviar la imagen a través del header.
NOTA: esto no está activo al público, solamente lo uso para hacer pruebas.
Gracias de antemano por cualquier ayuda.
md5
o unuuid
o algo parecido para que no se puedan "buscar".