Script som ivaretar både innlogging og filsikkerhe

[JanThore]

Skal lage en medlemsinnlogging for en frivillig organisasjon og

trenger ett script som på en måte blander php-innlogging og filsikkerhet som i

htaccess. Det som er teit med sessions er jo at filer (feks ikke php filer men pdf, jpg osv) i de passordbeskytta sidene er lette å få tak i hvis man vet stien..

Bare bruk htaccess ser ikke så bra ut og mindre brukervennlig med tanke på

administrasjons endringer.

 

Så hvis det er noen som har tips eller en løsning på hvordan jeg

kan slå dette sammen hadde jeg satt pris på det.

 

PS: har skript som tar seg av innlogging med session, trenger bare å videreutvikle den.

[Runar0]

Fra PHP.net $_SERVER

'PHP_AUTH_DIGEST'

    When running under Apache as module doing Digest HTTP authentication this variable is set to the 'Authorization' header sent by the client (which you should then use to make the appropriate validation).

'PHP_AUTH_USER'

    When running under Apache or IIS (ISAPI on PHP 5) as module doing HTTP authentication this variable is set to the username provided by the user.

'PHP_AUTH_PW'

    When running under Apache or IIS (ISAPI on PHP 5) as module doing HTTP authentication this variable is set to the password provided by the user.

'AUTH_TYPE'

    When running under Apache as module doing HTTP authenticated this variable is set to the authentication type.

 

Tipper bruk av htaccess også ein skjekk i php scriptene er den beste løsningen.

Endret 19. mars 2007 av Shadows0

[AlecTBM]

kan jo legge opp bilde/pdf filene i php slik at det bli bilde.php og ikke bilde.jpg, dermed kan du sjekke om brukeren er innlogget.

 

htacsess er egentlig ganske tungvint i seg sjøl

[-morten]

Går an å nekte tilgang til alle de filene du tenker å ha HTTP-auth på med .htaccess, og heller hente dem ut med en php-fil som krever innlogging.

 

Altså har du feks en mappe kalt "filer", der alle disse filene ligger.

Så putter du en .htaccess inn der, som gir 403 Access Denied uansett.

 

Så kan du ha en fil kalt visfil.php?f=lala.pdf osv, som gjør dette:

- sjekk login

- hent filnavn fra $_GET['f'] og valider det på alle måter

- sjekk at filen finnes i "filer"-mappa

- finn filtype utfra filnavnet

- send passende header('Content-Type: xxx/xxx'); for filtypen

- echo file_get_contents($filnavn)

 

Content-Type er feks text/plain, image/jpeg, image/gif, image/png, application/pdf, osv. full liste her.

Finnes visst en noen funksjoner for å hente content/mime-type automagisk også. Eller du kan kjøre exec("file -i -b $filnavn"); hvis det er på linux.

Endret 19. mars 2007 av -morten

[AlecTBM]

wow.

Den sia der var nyttig

 

Men det er nok det beste ja.

er en litt mer avansert metode enn det jeg sa da