Duda sobre seguridad en PHP

[mdague]

Hola!
Tengo que programar un sitio que maneja archivos importantes para el cliente, y estos no puden ser descargados si no estas logeado en la pagina.
Como puedo solucionar esto?

Ejemplo:
No quiero que puedan descargarlo de esta manera:
http://www.misitio.com/archivos/archivo1.doc


Muchas Gracias!!!

[easy]

utilizas bd?

[mdague]

utilizo base de datos si.
Tengo una tabla de usuarios y otra tabla con el nombre del archivo que pueden acceder

[easy]

pues mira yo lo tengo asi para un cliente:

para descargar un documento, lo tengo que vaya a auna pagina de descarga (descargas.php) cuando un usuario quiera descargar dicho doucmento al hacer click en el vicnulo del documento, lo lleva directamente al sitio descar,php. en el tope de descarga.php se conculta a la tabla si tiene nivel o no.

yo lo tengo asi:

Código PHP:

  //conexion a la bd desde otro script
include"conecion.php";

//consulto y comparo los datos de sesion
$sesion = $_SESSION[id'];

$sql ="SELECT nivel FROM tabla WHERE id_session='$sesion'";
$query = mysql_query($sql) or die(mysql_error());
$ver = mysql_fetch_array($query) or die (mysql_error());

if ($ver['id_session] != $session) {
header ("Location: pagina.aviso.no.actual.login.php");
} else {

//codigo de descarga
$id = //documento a descargar
header("Content-type: application/octet-stream");
header("Content-Disposition: attachment; filename=\"$id\"\n");
$fp=fopen($id, "r");
fpassthru($fp);  
   

[franco190453]

mdague:
Lo unico que se me viene a la mente que puedes hacer es ->
Cuando el usuario se logea debe introducir, supongo un nombre de usuario y contraseña.
Pues al inicio cuando se registra debes codificar ya sea el mobre de usuario o la contraseña y fundamentado en ese codigo tu script o codigo debe crear un directorio con mkdir() que lleve como nombre el codigo encriptado del usuario.
Cuando acceda por segunda y otras veces pues tu script o codigo lo direccionara hacia el directorio encriptado de tu usuario, de esa manera solo el usuario podra tener acceso a los archivos.
Un intruso podra bajar el archivo unica y exclusivamente si logra detectar ese codo encriptado que define el usuario a su ingreso.
Ejemplo ->
Usuario se registra con nombbre de usuario mdague, con md5 sacas el codigo que puede lucir asi : 34nbvcndr8579e4ofnvndpod0r9gjvk
de aqui haces un mkdir() con el codigo y la ruta de tu usuario seria ->http://www.misitio.com/34nbcndr8579e...k/archivo1.doc

Saludos
Y espero te ayude
Franco

[mdague]

Muchas gracias por las soluciones!
Las voy a probar y les cuento como me fue!
Saludos.