Dateien schützen - PDFs / Ausleitungen nur für Eingeloggte User sichtbar (gelöst) (Allgemeines zu Perl)

[thread]20511[/thread]

Dateien schützen - PDFs / Ausleitungen nur für Eingeloggte User sichtbar [gelöst]

Leser: 14

Articles: hide open all | hide show old branches

+7 replies
Gustl

2018-09-14 13:10

User since
2011-01-27
441 Artikel
BenutzerIn

Hallo zusammen,

User können sich in einem Backend anmelden. Die Anmeldung erfolgt durch ein Cookie und einer SessionID in der DB. Jeder User kann, den Rechten entsprechend eine Ausleitung erzeugen die auch auf dem Server gespeichert werden soll. Dafür habe ich ein Verzeichnis recoverys im root. Jetzt kann dort aber jeder darauf zugreifen.

Ich könnte das Verzeichnis ja mit RedirectMatch 403 ^/recoverys/.*$ versehen, aber dann haben auch die User die eingeloggt sind keinen Zugriff mehr.

Hat wer eine Idee wie ich das realisieren könnte? Also vor dem Download oder Zugriff die Berechtigung in Perl checken und dann erlauben oder eben nicht!?

Danke schon mal.

Gruß
- +6 replies
- Muffi
  
  2018-09-14 13:14
  
  User since
  2012-07-18
  1465 Artikel
  BenutzerIn
  
  Du kannst doch einfach die Datei per Perl rausschicken. Also nicht in öffentliche Verzeichnisse am Webserver legen.
  
  [EDIT] Aber da ein wenig mit ankommenden Parametern aufpassen und gut checken. Datei-Rausschickskripte sind beliebte Angriffsvektoren, wenn man die komplette Platte auslesen will. Oder noch mehr anstellen. Der open in Perl ist recht mächtig.
  Last edited: 2018-09-14 13:51:56 +0200 (CEST)
  1 + 1 = 10
  - +5 replies
  - Gustl
    
    2018-09-14 14:56
    
    User since
    2011-01-27
    441 Artikel
    BenutzerIn
    
    Hallo, ja, das habe ich teilweise so gemacht. Danke.
    
    Aber was ist mit den Dateien die erst einmal nur angeschaut werden sollen, wie zum Beispiel erzeugte PDFs? Die muss ich in einem Ordner abspeichern und dann sollen die User diese erst einmal mit dem Browser öffnen können ohne Download.
    
    Würde das auch gehen? Vielleicht beim Zugriff auf einem bestimmten Ordner ein Perlscript ausführen das dann dementsprechende Berechtigungen gibt die PDF im Browser anzuzeigen?
    - +4 replies
    - Muffi
      
      2018-09-14 15:15
      
      User since
      2012-07-18
      1465 Artikel
      BenutzerIn
      
      Ob du was in einem Browser anzeigst oder zum Speichern anbietest hat erstmal nichts damit zu tun wer das rausschickt, das sind nur die richtigen HTTP-Header setzen.
      
      Guck, alles was Apache kann (der macht auch nix anderes als Code starten; Datei einlesen; HTTP-Header setzen; Datei raus-printen) kannst du auch mit Perl machen.
      1 + 1 = 10
      - +3 replies
      - Gustl
        
        2018-09-14 16:07
        
        User since
        2011-01-27
        441 Artikel
        BenutzerIn
        
        Klar, einfach eine RewriteRule auf dem Verzeichnis und den Rest vom Link als Parameter übergeben.
        
        Code: (dl )
        
        RewriteRule ^recoverys/(.*)$ /recoverys/download.pl?data=$1 [QSA,L]
        
        Klasse, daran habe ich gar nicht gedacht.
        
        Dankeschön.
        
        Gruß
        
        +2 replies
        
        GwenDragon
        
        2018-09-14 18:26
        
        User since
        2005-01-17
        14563 Artikel
        Admin1
        
        (.*)$ Oha.
        Dir ist schon klar, dass sich so der Aufruf des Skripts auch selbst in den Rewrite einbringt? Ist wenig sinnvoll.
        Musst halt noch ein RewriteCond einführen, welches eben nur greift, wenn es nicht download.pl ist.
        die Drachin, Gwendolyn
        
        Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
        
        Gustl
        
        2018-09-14 21:08
        
        User since
        2011-01-27
        441 Artikel
        BenutzerIn
        
        Danke für den Hinweis, aber da sich das Script eh woanders befindet, macht das nichts.
        
        RewriteRule ^recoverys/(.*)$ /scripts/download.pl?data=$1 [QSA,L]
        Last edited: 2018-09-15 07:24:30 +0200 (CEST)

View all threads created 2018-09-14 13:10.