Ayuda con seguridad en php

[mmurilloco]

Buenas. El motivo de mi consulta es un tema de seguridad en php. Se trata de esto (se los voy a resumir y a dar los detalles importantes para que me entiendan): Yo estoy manejando sesiones de usuario en un sitio que estoy creando. Si el usuario se loguea, entonces le salen un conjunto de links a distintos archivos que él puede descargar. Si no hay nadie logueado, entonces los links no se muestran. Hasta ahí todo va perfecto. El problema, es que por ejemplo, un link a un archivo es por decir algo http://www.mipagina.com/docs/archivo.zip. Si yo agarro ese URL y lo pongo de una vez en la barra de direcciones, el archivo sí se descarga.... o sea, CERO seguridad. Y soy nuevo en php, y no se me ocurre ni idea de como arreglar eso.
¿Me podrían ayudar? GRACIAS!!

[Cristiaen]

Una posible solución es establecer el CHMOD de la carpeta /docs en modo sólo escritura interna.

En lugar de crear los enlaces directamente, podrías crear un sencillo archivo PHP, bien con una lista o una base de datos mysql, que contenga los enlaces y unos ID.

Luego envías los enlaces a http://www.tudisio.com/download.php?id=3

Y allí compruebas si la sesion es correcta o no, antes de redigirlo hacia la dirección del archivo.

Aún así esto es un poquito largo y es mejor que esperes a alguna otra respuesta que te diga como proteger ese documento usando .htacces, que es mas sencillo y rápido.

Por si esa respuesta no llega, aquí tienes una solución alternativa

Suerte

[lacho]

si definitivamente esa es una buena solucion, sin embargo aparte de los permisos de las carpetas podes validar en todas estas y con la base de datos,pero si digamos tu sitio no es tan dinamico podes usar switch para ver los usuarios permitidos y como dice Cristiaen pasar variables por el url para determinar que vas a hacer, sin embargo aun asi si pones el url podes tener un resultado sin seguiridad y podes implementar estas sencillas lineas:

Código PHP:

  session_start(); 
if (!isset($_SESSION['usuario_actual'])) 
   { 
    header("Location: http://localhost/logeo.html");   
   }  
   

por si el usuario esta logeado lo pase al logeo y no te permita ejecutar el script, este lo podes guardar en un script llamado seguridad.php por ejemplo y en cada script que solo deba ser visto por usuarios logeados podes hacer

Código PHP:

  include ("rutadondesteenelservidor/seguridad.php");  
   

aunque lo que ya recomiendan es algo que debes hacer,esto es solo para afinarle detalles a lo que ya te recomendaron.