使用 .htpasswd 保护文件夹，但在保护密码的同时允许 php 下载

Question

我使用 .htpasswd 和 .htaccess 对一个文件夹进行了密码保护，其中包含我想使用 php 控制下载的数字资产。

我正计划使用该机制提供下载链接：

http://username:password@www.website.com/directory/

但是，我不希望人们访问用户名和密码。换句话说，我想根据数据库中可用的信息制作一个具有不同 url 的 php 网关文件，该文件决定是否提供下载。

这是一个安全问题，所以我不确定从哪里开始。我确信我可以将一些代码散列在一起，但我对此没有信心。我怎样才能安全地做到这一点？非常感谢任何帮助。

Answer 1

如果您有技术上的可能性，我建议您甚至将资产存储在 Web 可访问文件夹之外，这样您就无需依赖 htaccess 进行保护。这样，您的 PHP 网关脚本是访问这些文件的唯一方法。

我不会详细介绍如何编写脚本本身，有多种方法可以做到这一点，并且很大程度上取决于您的要求，什么是最好的，因此需要更多信息来提供一些建议。如果您的资产非常大，那么由于内存/时间限制，通过脚本流式传输它们可能无法正常工作，在这种情况下，您可以在有限的时间内将它们从安全位置符号链接到具有随机散列路径/文件名的公共位置并给出那个链接出来了。