保护远程服务器上的下载答案

【问题标题】：Protect downloads on remote server保护远程服务器上的下载
【发布时间】：2012-06-09 20:33:16
【问题描述】：

我有 2 台服务器。在服务器 1 上，我有一个 WordPress 网站。在服务器 2 上，我希望 WordPress 站点的成员能够下载大型 .zip 文件。

如何验证这些用户，以便只有网站成员才能从第二台服务器下载文件？

是否可以使用 PHP，以便只有来自我的域的引用者才能访问文件？

注意：下载文件的链接在 wordpress 网站上受到保护，因此未登录的用户会被重定向到加入页面。但是，当前和前成员仍然会知道下载所在的目录，并且可能会下载文件或共享链接。

【问题讨论】：

注意使用基于当前时间戳的令牌。有多少事情可以同时发生，使用基于时间的标记确实是一个非常糟糕的主意，除非你在那个字符串中有一些前缀并且它必须是唯一的。尝试使用由您的数据库生成的唯一 ID，这是完全安全的。

标签： php wordpress

【解决方案1】：

有几种方法可以做到这一点。最安全的方法是在服务器 1 和服务器 2 之间进行一些后端通信。但这里有一个简单的替代方案：

服务器 2：下载.php

<?PHP
 $file = $_GET['f'];
 $code = $_GET['c']; 
 $ip = $_SERVER['REMOTE_ADDR'];

 if ($code != md5($ip . 'salt')) {
    die('authentication denied');
 }

 if(!file)
 {
     die('file not found');
 }

 // Set headers
 header("Cache-Control: public");
 header("Content-Description: File Transfer");
 header("Content-Disposition: attachment; filename=$file");
 header("Content-Type: application/zip");
 header("Content-Transfer-Encoding: binary");

 // Read the file from disk
 readfile('/files/downloads/' . $file);

?>

服务器 1：下载链接

<?PHP
 echo '<a href="http://server2.com/download.php?f=text.txt&c=' . md5($_SERVER['REMOTE_ADDR'] . 'salt') / '">Download File</a>';
?>

此系统的工作原理是创建一个链接，该链接只能在为其生成的 IP 上使用。因此，注册用户无法在其他地方共享链接。这不是最安全的事情，但它很容易实施并且会起作用。

【讨论】：

感谢您的回复！对于服务器 2 代码，需要将其放置在域中，还是可以直接将其上传到服务器的 IP？我还假设“从磁盘读取文件”部分 - 我希望文件位于 readfile('my/download/path/here' 目录中？
server2 的代码只需要公开访问即可。是的，更改“/files/downloads/”以满足您的需求。请将答案标记为已接受。

【解决方案2】：

一些巧妙的解决方案可能是使用基于当前时间的令牌系统。您可以获取一天中的当前时间并用一些盐对其进行哈希处理，并将其作为令牌放入查询字符串中。第二个服务器上的 php 脚本可能会检查查询字符串哈希是否相同，因为在服务器端使用相同的盐为一天中的当前时间生成的哈希。

为确保用户不会达到小时切换时间，您也可以检查前一小时的哈希值。

它让您确定文件 url 的可用时间不会超过两个小时，保证可用时间为一小时。

在服务器 1 上：

<?php
echo '<a href="server2.com/download.php?token='.md5(date('G')+'secret_word').'&file=file.zip">Link</a>';
?>

在服务器 2 上：

<?php
current_hour_hash = md5( date('G').'secret_word' );
previous_hour_number = ( int(date('G')) - 1 ) % 24;
previous_hour_hash = md5( str(previous_hour_number).'secret_word' );
if($_GET['token']!= current_hour_hash and $_GET['token']!= previous_hour_hash){
    die();
}else{
    ... //code sending file here
}

【讨论】：