php - .htaccess 拒绝从脚本下载文件

Question

大家好，

我的网站根目录中有一个名为“documents”的文件夹，该文件夹受 .htpasswd 文件的密码保护，但允许通过脚本访问以查看。

如何允许脚本能够下载文件而不直接从目录访问它？

我举个例子来解释一下情况。

在我的主页上显示图片test.jpg，该图片位于 protected 文档文件夹中。图像在主页上正确显示。

如果在地址栏中输入www.domain.com/documents/test.jpg，它不会显示或下载，但会要求输入密码。(这是我想要的，但不希望人们输入密码他们想要下载的每个文件)

有没有一种方法可以让 php 或 JavaScript 下载文档而无需提示输入密码？换句话说绕过.htaccess规则？

提前致谢

Answer 1

我已重新标记添加 PHP 和 Javascript。没有什么可以阻止您编写位于文档文件夹之外的重新映射器 PHP 脚本，因此无需 Apache 身份验证即可访问。这可能会发出 readfile()发送文件(请参阅文档示例和用户贡献以获取更详细的说明。由于这是一个服务器端脚本，因此它将可以直接访问 protected 目录。

当然，您可能想要实现某种形式的访问控制，例如附加一个基于文件名的 md5 和共享 key 的请求参数 check。这在调用脚本中很容易计算。然而，一旦您将此类访问协商转移到客户端脚本，您就需要接受任何有经验的黑客都可能对其进行逆向设计和利用。

作为脚注，如果您希望允许用户下载您的图像，为什么要将它们放置在访问受控目录中。为什么不将它们移出这个目录呢？