Beste leden,

Ik zit met een probleempje wat vast heel gemakkelijk op te lossen is. Ik heb een bestand in een map staan op een server. Dit bestand wordt als bijlage bij een door een PHP bestand opgestelde mail verzonden. Nu mag deze bijlage niet te downloaden zijn door andere gebruikers, scripts e.d. dan het php script (dat niet in dezelfde map staat als het bestand).
Hoe is dit te verwezenlijken? Ik wil de melding krijgen dat het bestand niet bestaat als mensen het proberen te downloaden direct uit die map, maar dat ene PHP script moet het bestand wel kunnen benaderen.

Ik hoop dat iemand me hiermee kan helpen!

Een wachtwoord op die map met htaccess? Lijkt me de meest simpele oplossing.

Het liefste wil ik geen wachtwoord op de map. Is het mogelijk dat de map gewoon als 'niet bestaand' wordt beschouwd voor alle directe benaderingen behalve van dat ene PHP script?

Zoals Peter al zeg het makkelijkst is om je map te beschermen met htaccess en htpasswd. PHP zal de map gewoon kunnen bereiken aangezien het server-side is.

Code:

order deny,allow
deny from all
allow from 127.0.0.1

Zoiets? 127.0.0.1 is het server IP.

Is die toevoeging van IP nodig als zowel het PHP bestand als het te versturen bestand zich op dezelfde server bevinden? Ik heb deze laatste optie geprobeerd en die ziet er goed uit moet ik zeggen. Het enige is dat ik niet zou weten wat het IP van de server is. Het werkt nu ook zonder, dus alleen de regel 'deny from all', maar betekend dat ook dat het in alle gevallen goed functioneert?

Origineel gepost door markh

Is die toevoeging van IP nodig als zowel het PHP bestand als het te versturen bestand zich op dezelfde server bevinden? Ik heb deze laatste optie geprobeerd en die ziet er goed uit moet ik zeggen. Het enige is dat ik niet zou weten wat het IP van de server is. Het werkt nu ook zonder, dus alleen de regel 'deny from all', maar betekend dat ook dat het in alle gevallen goed functioneert?

Je hoeft die Allow from 127.0.0.1 niet er in te laten, het kan wel maar is niet nodig. 127.0.0.1 is overigens hetzelfde als localhost.

PHP zal het bestand altijd kunnen bereiken omdat het server-side is en hij niet via een webbrowser of iets het bestand probeert te bereiken.

127.0.0.1 is je server, ook wel bekend als "localhost".. Je hoeft het ip niet aan te passen, want de server kan er nu wel bijkomen alle anderen niet.

Afhankelijk van hoe jouw php script het bestand inlaad kan hij er nu bij. Wat Sefa zegt klopt ook, maar enkel als je "lokale" manier gebruikt om bestanden in te laden.

Oke, het is me helemaal duidelijk! Hartelijk dank voor de hulp!

Je kunt het bestand buiten je webroot te plaatsen zodat het niet gedownload kán worden. Je script kan het dan wel lezen (als de rechten goed staan) en het bijvoegen aan je email.

Origineel gepost door John Timmer

Je kunt het bestand buiten je webroot te plaatsen zodat het niet gedownload kán worden. Je script kan het dan wel lezen (als de rechten goed staan) en het bijvoegen aan je email.

Dat is het echt goede antwoord. Dingen die niet via http(s) te benaderen moeten zijn, horen gewoon niet in de directory die beschikbaar is via http(s). Wat klinkt het onnozel, als je het zo opschrijft. :P

Vanuit beveiligingsoogpunt zou ik aanraden om jezelf aan te leren dingen standaard buiten je webroot te plaatsen, tenzij ze er juist in moeten om benaderbaar te zijn via http(s).

Webroot is de folder die httdocs of public_html of iets dergelijks heet.

Meeste webhosts hebben tegenwoordig een private_html en een public_html, in de private_html kan je dat bestand plaatsen.

Je zal dan wel je include volledig uitgeschreven naar het juiste bestand moeten leiden. Ofwel met ../../../ ofwel vanaf de start.

In deze map hoor je ook bijvoorbeeld cronjobs te laden.

Origineel gepost door rogier fischer

Meeste webhosts hebben tegenwoordig een private_html en een public_html, in de private_html kan je dat bestand plaatsen.

Je zal dan wel je include volledig uitgeschreven naar het juiste bestand moeten leiden. Ofwel met ../../../ ofwel vanaf de start.

In deze map hoor je ook bijvoorbeeld cronjobs te laden.

Dat zou ik niet doen. In DirectAdmin bv. is je private_html meestal gewoon beschikbaar onder https://www.domein.nl

private_html is volgens mij voor bezoekers onmogelijk te bereiken. En vanuit de directadmin kan je elke map bereiken?

Origineel gepost door rogier fischer

private_html is volgens mij voor bezoekers onmogelijk te bereiken. En vanuit de directadmin kan je elke map bereiken?

Nope, zodra je hoster ssl toestaat (https dus) dan kom je direct in de private_html uit. Dit is dus totaal niet afgeschermd. Je moet de bestanden echt hoger in de directorytree zetten dan private_html of public_html.
In /home/user/domains/domein.nl/data bijvoorbeeld. (data moet je dan wel nog aanmaken).

(Ik bedoelde overigens servers waarop directadmin als controlpanel draait.)