php - 用户上传图片到网站的权限和安全

Question

我正在为我的社交网站开发一项功能，允许用户上传图片(以及以后的视频)，然后其他人可以查看这些图片。该代码当前将上传的图像从临时上传目录复制到 Web 服务器文档根目录下的/media/目录中，并为其生成一个名称(我们不使用原始文件名)。该图像也存储在 mongo gridfs 中。当请求图像文件时，我使用 htaccess 查看文件是否存在 - 如果不存在，则 URL 被重写为 PHP 程序，该程序从 mongo 检索图像，将其写入/media 下的文件名/和重定向。

我的问题是关于/media 目录的安全性和相关目录权限。/media/目录的权限必须是 www-data 可写的。有没有办法在我的文档根目录下没有世界可写目录的情况下实现与我目前所拥有的相同的效果？我已经在 SO 上阅读了很多关于此类问题的帖子，这些帖子似乎说的是不同的(尽管通常不冲突)，我希望对我应该注意的要点有一个很好的总结。

Answer 1

如果您只需要您的 PHP 脚本将文件上传到此文件夹(并更改其内容)，您将需要让 Apache 用户作为该目录的所有者运行。

要找出运行 Apache 的用户，请使用:

ps aux | grep apache

在 SSH 命令行上。然后找出 Apache 所属的用户组。正如您所说，它通常总是 www-data 但您始终可以仔细检查以确定。知道后，将此组设置为目录的所有者:

chgrp -R www-data /path/to/directory