Zugriff auf Dateien ohne htacess blockieren?

[Tom]

Hello,

Der könnte/sollte dann auch als Zufallszahl (und nicht als lfd. Nummer) ausgeführt werden, da es ja keine Verbindung zwischen Browserfenster und Sessiondatei gibt und leicht das gleiche Browserfenster mehrfach geöffnet sein könnte...

Worauf willst du da hinaus? Die Benutzer dürfen die Filenames ja gerne erfahren, oder? Was heisst "lfd." ?

Die Benutzer sollten aber keine beliebigen Filenames vorgeben dürfen.

Machen wir es doch zum Verständnis mal anders herum:

• Der Benutzer fordert eine Datei per Klartextnamen zum Doenload an.
• es muss geprüft werden, ob diese Datei überhaupt im erlaubten Verzeichnis liegt
    Dazu muss der im Request gesendete Pfad zerlegt ung geprüft werden und nach der
    Datei geschaut werden
• Der qualifizierte Pfad zur Datei muss geprüft werden, ob er dem Benutzer überhaupt
    zur Verfügung gestellt werden darf
• Die Datei muss geholt werden, wenn sie jetzt noch vorhanden und lesbar ist.

Diese ganzen Prüfungen kann man sich sparen, wenn man die Selektion der für den Bentzer erlaubten Dateien (sessionbasierte Rechteverwaltung) in die Session einträgt. Dann kann der Benutzer nur Dateien anfordern, die ihm zustehen und nicht wild auf der Platte herumsurfen.

Das ist dann, wie schon erwähnt, eine sessionbasierte Rechteverwaltung. Wenn man eine requestbasierte Rechteverwaltung verwendet, sollte man es tatsächlich anders herum machen...

Unterschied ist, dass aufgrund der möglichen Dauer einer Session (bei meinfachen Systemen quasi ewig) von der Abfrage bis zum tatsächlichen Download der Datei die Rechte darauf geändert haben könnten.

Man muss also wissen, wie das eigene System arbeiten soll.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg