javascript - 在 HTML 页面中获取私有(private)文件或显示私有(private)图像

Question

我想知道如何发布私有(private)用户文件，但只有该用户才能访问它。我的意思是，登录后，会有许多文件只有登录用户才能访问。例如，图像集或可能在 html5 播放器中播放的 mp3 文件或要下载的 pdf。但关键是登录的用户是文件的所有者，他是唯一可以获得文件的人。

我的问题是，在 HTML 代码中，我需要在图像属性中提供链接或在 html5 mp3 播放器中提供链接或文件链接以下载它。而且这个链接必须指向一个公共(public)目录，这样每个人都可以访问它。

我的问题是:如今人们如何实现这种安全或功能？

另一个例子。在 Facebook 中，您拥有自己的私有(private)图片，即使您将任何私有(private)图片的完整链接提供给 friend ，他也看不到它，除非您将该图片标记为“公开”或类似的东西。

可能的解决方案

我一直在研究人们在这里给我的想法。我确实尝试了一些东西；例如，我去了 Facebook 并获得了我的私有(private)图片的链接(通过右键单击并复制图片链接......)我将该链接放在其他浏览器中并退出 Facebook 后，我可以看到图片在浏览器中所以结论是文件必须在我们访问的那一刻是公开的。另一件事是我们隐藏了名称文件或类似的东西。

我建议:

• 用户文件必须位于一个文件夹中，该文件夹具有“唯一引用”作为名称，只能知道自己的用户。因此，通过将此引用像密码一样存储在数据库中……您明白了……

• 有时，我们需要具有访问受限的“公共(public)文件”，我的意思是，我想让人们在 html5 播放器或视频中播放 mp3，但我不想让他们下载它。在这种情况下，我们可以混淆代码，从而难以找到完整链接。

Answer 1

好的。由于我不熟悉您的代码，因此我将使用一些通用代码作为示例。您所要做的就是调整它。

首先是一个非常基本的 html，它将上传视频/mp3/图像或其他内容:

<form name="upload" action="" method="POST" ENCTYPE="multipart/form-data">
    Select the file to upload: <input type="file" name="userfile">
    <input type="submit" name="upload" value="upload">
</form>

接下来你需要准备你的数据库表:

CREATE TABLE `uploads` (
    `id` INT(11) NOT NULL AUTO_INCREMENT,
    `userid` INT(11) NOT NULL,
    `name` VARCHAR(64) NOT NULL,
    `original_name` VARCHAR(64) NOT NULL,
    `mime_type` VARCHAR(20) NOT NULL,
    PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=0 DEFAULT CHARSET=utf8;

现在是文件上传部分。在这一点上我应该提到我不是很熟悉 MySQLi。因此，我在此示例中使用 PDO。但是，如果您愿意，您应该能够将其调整为 MySQLi:

<?php
session_start();
# My PDO class. A link to it can be found at the bottom of this answer
require_once 'pdo.class.php';

# Send user back login if not logged
if(!isset($_SESSION['your_login_userid_here'])){
    Header("Location: your_login.php");
}

# If file is uploaded
if(isset($_POST['upload'])){
    $uploaddir = 'uploads'; # Your upload directory

    function tempnam_sfx($path, $suffix){
        do {
            $file = $path."/".mt_rand().$suffix;
            $fp = @fopen($file, 'x');
        }
        while(!$fp);

        fclose($fp);
        return $file;
    }

    # Make a regular expression to check for allowed mime types
    $pattern = "#^(image/|video/|audio/)[^\s\n<]+$#i";

    if(!preg_match($pattern, $_FILES['userfile']['type']){
        die("Only image, video and audio files are allowed!");
    }

    $uploadfile = tempnam_sfx($uploaddir, ".tmp");

    if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)) {

        # Define db configuration
        define("DB_HOST", "localhost");
        define("DB_USER", "username");
        define("DB_PASS", "password");
        define("DB_NAME", "dbname");

        $db = new Database;

        $db->query("INSERT INTO uploads SET userid=:id, name=:filename, original_name=:oriname, mime_type=:mime");

        $db->bind(":userid",$_SESSION['your_login_userid_here']);
        $db->bind(":filename",basename($uploadfile));
        $db->bind(":oriname",basename($_FILES['userfile']['name']));
        $db->bind(":mime",$_FILES['userfile']['type']);

        try {
            $db->execute();
        } catch (PDOException $e) {
            unlink($uploadfile);

            die("Error saving data to the database. The file was not uploaded");
        }

        $id = $db->lastInsertId();
        echo "File succesfully uploaded.\n";

    } else {
        echo "File uploading failed.\n";
    }
} else {
    # No upload received. Send user to upload page
    Header("Location: html_upload_form.html");
}

?>

那么发生了什么？基本上我们将文件上传到我们的上传目录，在那里我们给它一个随机文件名，扩展名为 .tmp。在我们的数据库中，我们保存了这个随机文件名、原始文件名以及它是什么类型的文件。当然，我们也添加了用户 ID，以便我们知道文件属于谁。这种方法的好处如下:

• - 没有人会知道服务器上的文件名。
• - 除了所有者之外，没有人会知道原始文件名。
• - Mime 类型允许我们设置 HTML5 媒体播放器。
• - 所有者可以下载文件，但其他人不能。

接下来是 PHP 文件，它将为我们检索上传的文件:

<?php
session_start();
require_once 'pdo.class.php';

# Send user back login if not logged
if(!isset($_SESSION['your_login_session_here'])){
    Header("Location: your_login.php");
}

# Define db configuration
define("DB_HOST", "localhost");
define("DB_USER", "username");
define("DB_PASS", "password");
define("DB_NAME", "dbname");

$uploaddir = 'uploads/';
$id = $_GET['id'];

if(!is_numeric($id)) {
   die("File id must be numeric");
}

$db = new Database;

$db->query('SELECT userid, name, mime_type FROM uploads WHERE id=:id');

$db->bind(":id", $id);

try {
    $file = $db->single();
} catch (PDOException $e) {
    die("Error fetching data from the database");
}

# Check if file belongs to user
if($_SESSION['your_login_session_here'] != $file['userid']){
    die("This file does not belong to you!");
}

if(is_null($file) || count($file)==0) {
    die("File not found");
}

$newfile = $file['original_name']; # The original filename

# Send headers and file back
header('Content-Description: File Transfer');
header('Content-Disposition: attachment; filename='.basename($newfile));
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($uploaddir.$file['name']));
header("Content-Type: " . $file['mime_type']);
readfile($uploaddir.$file['name']);

?>

发生了什么事？在此文件中，您使用文件 ID 从数据库中检索用户文件。这样，用户根本不需要知道任何文件名!多亏了我们的 header ，文件的所有者将能够使用其原始名称下载文件，而根本不知道服务器上的文件名。

接下来我将给你一个简短的例子来说明如何向用户展示他的所有文件:

<?php
session_start();
require_once 'pdo.class.php';

# Send user back login if not logged
if(!isset($_SESSION['your_login_session_here'])){
    Header("Location: your_login.php");
}

# Define db configuration
define("DB_HOST", "localhost");
define("DB_USER", "username");
define("DB_PASS", "password");
define("DB_NAME", "dbname");

$db = new Database;

# Retrieve all files from the user and build links
$db->query("SELECT id, original_name, mime_type FROM uploads WHERE userid=:id");

$db->bind(":id",$_SESSION['your_login_session_here']);

try {
    $files = $db->resultset();
} catch (PDOException $e) {
    die("Error fetching data from the database");
}

if($db->rowCount() > 0){
    foreach($files as $file){
        echo "<a href='your_html_viewer_file.php?id=". $file['id'] "&type=". $file['mime_type'] .">". $file['original_name'] ."</a><br />";
    }
} else {
    echo "No files found!";
}

?>

最后是将在某些 HTML 媒体播放器中显示该文件的 PHP 文件。我在这里只会举两个例子，你应该可以很容易地添加自己的例子:

<?php
session_start();

# Send user back login if not logged
if(!isset($_SESSION['your_login_session_here'])){
    Header("Location: your_login.php");
}

$id = $_GET['id'];
$type = $_GET['type'];

if(strpos($type, 'video/') === 0){ ?>

    <video width="480" height="320" controls>
        <source src="your_file_retriever.php?id=<?php echo $id; ?>" type="<?php echo $type; ?>">
    </video>

<?php } else if(strpos($type, 'audio/') === 0){ ?>

    <audio controls>
        <source src="your_file_retriever.php?id=<?php echo $id; ?>" type="<?php echo $type; ?>">
    </audio>

<?php } ?>

现在要确保没有人会暴力攻击您的上传文件夹，您需要在此文件夹中创建一个 .htaccess 文件。以下代码将阻止除服务器本身之外的任何人访问该文件夹:

order deny,allow
deny from all
allow from 127.0.0.1

我的 PDO Class .