Dostęp do plików, filmów PHP

pytanie zadane 12 lutego 2019 w PHP przez _Visni4PL_ Obywatel (1,320 p.)

Witam! Potrzebuję dać dostęp do filmów, plików na stronie www osobom, które są zalogowane bądź kupiły dostęp (jeszcze nie wiem jak to rozwiążę). I poradzę sobie z wyświetleniem filmiku i pobieraniem plików, ale tu nasuwa się problem, co jeśli ktoś wpisze w adresie strony strona.com/filmik.mp4 lub strona.com/plik.exe? Chodzi mi o sytuację, gdy ktoś spróbuje wyszukać plik ręcznie na serwerze, jak powinienem go przechowywać, aby był bezpieczny? Na innym serwerze? Dziękuję za każdą odpowiedź.

komentarz 13 lutego 2019 przez MsMaciek123 Pasjonat (24,760 p.)

Tylko sobie jeszcze dodaj w regulaminie informacje że rozpowszechnianie filmu (lub jego części) osobom nie zalogowanym jest zabronione. Bo co gdyby ktoś kupił wszystkie twoje filmy i stworzył stronę, gdzie te filmy były by za darmo?

2 odpowiedzi

odpowiedź 13 lutego 2019 przez Tnifey Pasjonat (24,190 p.)

nie powinieneś trzymać takich rzeczy w katalogu publicznym.

możesz zwrócić taki plik w response z odpowiednimi headerami sprawdzając wcześniej czy użytkownik jest zalogowany i ma dostęp do danego pliku :) w takiej sytuacji niepowołane osoby nie mają bezpośredniego dostępu do pliku, a tym bardziej nie mogą sobie ot tak przeglądać plików (na produkcji ta opcja powinna być wyłączona na serwerze)

komentarz 13 lutego 2019 przez _Visni4PL_ Obywatel (1,320 p.)

Ok dzięki :)

komentarz 13 lutego 2019 przez Ehlert Ekspert (210,670 p.)

@Tnifey, to niestety w php kiepski pomysł. W php żeby robić takie rzeczy należy zwracać do klienta tzw stream response. W technologii synchronicznej to najkrótsza droga do zajechania serwera.

komentarz 14 lutego 2019 przez _Visni4PL_ Obywatel (1,320 p.)

Zgadzam się z Tobą. Moim zdaniem najlepiej jest połączyć PHP z Node.js :).

odpowiedź 13 lutego 2019 przez Ehlert Ekspert (210,670 p.)

Taki dostęp najlepiej realizować w node. Na poziomie aplikacji w php generujesz jakiś token dostępowy. Może on być zapisany w bazie, całkiem spoko rozwiązaniem jest też stateless token. Request z takim tokenem idzie do node. Prosty serwis w node weryfikuje prawo dostępu do danego zasobu. Sprawdza czy token jest dobrze podpisany, lub czy istnieje w bazie. Potem zaczynasz streaming.