[Système] Proteger des fichiers en telechargement ?

**ronando** · 26/09/2006, 11h08

Bonjour à tous,

Je vous explique. J'ai dév un site en PHP qui permet de télécharger des fichiers. L'utilisateur doit s'identifier sur la page d'accueil avec login et mdp. (avec login et mdp dans une base mysql)
Une fois identifié il à acces à des fichiers présent dans un dossier qu'on peut appeler 'download'.

Le problème c'est que si un utilisateur tape : http://monsite/download/fichier1.doc

il aura accès à ce fichier..

j'ai vu qu'avec .htaccess on peut restreindre l'access mais du coup mon utilisateur doit à nouveau s'identifier non ?
J'aimerai que l'utilisateur s'identifie qu'au debut et pas en .htaccess

Si quelqu'un comprend mon probleme et connait une solution ?

Merci

**kankrelune** · 26/09/2006, 12h41

Tu met tes fichiers dans un répertoire protégé par .htaccess deny from all et puis à partir d'une page si l'internaute est connecté tu lui fais télécharger le fichier en forçant le téléchargement via les header et en affichant le contenu du fichier... .. .

@ tchaOo°

**ronando** · 26/09/2006, 13h54

Merci de ta réponse,

je dois mettre ce code dans une nouvelle page ? et lorsqu'elle va s'ouvrir le telechargement sera proposé ?

**kankrelune** · 26/09/2006, 14h15

Nouvelle page ou non la seule contrainte (hormis que tu ais vérifié que l'internaute est identifié) est qu'il faut afficher aucune autre données que celle du fichier à télécharger... sinon ce dernier sera corompu (logique)... .. .

@ tchaOo°

**ronando** · 28/09/2006, 11h23

J'essaye de forcer le téléchargement d'un fichier avec le code de la FAQ (qui a été mis à jour en passant)

http://php.developpez.com/faq/?page=..._forcedownload

J'obtient une erreur (quand j'enleve le 'true' passé en paramètre je n'ai plus l'erreur) :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

Warning: Wrong parameter count for md5()

J'ai remi le code tel quel dans une page download.php, au même niveau j'ai un fichier test.zip

j'ai juste modifié la 1ere ligne de code pour dire quel fichier télécharger :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

define('CFG_SYSTEM_FILENAME', test.zip');

mais rien en se passe aucune fichier à télécharger m'est proposé.. ?
J'ai fait une erreur ?

**kankrelune** · 28/09/2006, 12h29

C'est normal tu dois être sous php4 la fonction md5 n'integre le second argument qu'avec php5... soit dit en passant c'est pas...

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
 
define('CFG_FILE_MD5', md5(CFG_SYSTEM_FILENAME, TRUE));
 
 
header('Content-MD5: '.base64_encode(CFG_FILE_MD5));

qu'il faut faire mais...

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
header('Content-MD5: '.base64_encode(md5_file(CFG_SYSTEM_FILENAME)));

et il faut remplacer...

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
 
define('CFG_FILESIZE', CFG_SYSTEM_FILENAME);
 
header('Content-Length: '.CFG_FILESIZE);

par...

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
header('Content-Length: '.filesize(CFG_SYSTEM_FILENAME));

Perso je trouve que la moitié des constantes qui sont définies sont inutiles... genre celle pour le md5 autant la virer et faire l'appel à la fonction md5(_file) directement au moment de la définition du header... mais bon c'est un avis perso... .. .

Il serait bien aussi de faire une fonction pour récupérer le mime type par rapport à l'extension du fichier parce que utiliser tout le temps application/octetstream c'est bien mais c'est pas pratique... .. .

@ tchaOo°

**ronando** · 28/09/2006, 13h59

Genre ça ?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
 
switch(strrchr(basename($fichier), ".")) {
 
case ".gz": $type = "application/x-gzip"; break;
case ".doc": $type = "application/msword"; break;
case ".tgz": $type = "application/x-gzip"; break;
case ".zip": $type = "application/zip"; break;
case ".pdf": $type = "application/pdf"; break;
case ".png": $type = "image/png"; break;
case ".gif": $type = "image/gif"; break;
case ".jpg": $type = "image/jpeg"; break;
case ".txt": $type = "text/plain"; break;
case ".htm": $type = "text/html"; break;
case ".html": $type = "text/html"; break;
default: $type = "application/octet-stream"; break;
 
}

C'est bizarre sous FF mon fichier word en telechargement n'est pas reconnu du coup il ne m'est pas l'extension. exemple je telecharge le fichier document1.doc, sur le disque dur ca donne juste document1

Le mime type pour word c'est bien : "application/msword" ?

**kankrelune** · 28/09/2006, 14h18

plutot...

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
 
 
function getMime($file)
{
	if(false === ($pos = strrpos($file,'.'))
		return  'application/octet-stream';
 
	switch(strtolower(substr($file,$pos+1))) 
	{
		case 'doc': $type = 'application/msword'; break;
		case 'zip': $type = 'application/zip'; break;
		case 'pdf': $type = 'application/pdf'; break;
		case 'png': $type = 'image/png'; break;
		case 'gif': $type = 'image/gif'; break;
		case 'jpg': $type = 'image/jpeg'; break;
		case 'txt': $type = 'text/plain'; break;
 
		case 'htm':
		case 'html': 
			$type = 'text/html'; 
		break;
 
		case 'gz':
		case 'tgz': 
			$type = 'application/x-gzip'; 
		break;
 
		default: $type = 'application/octet-stream'; break;
	}
	return $type;
}

Pour le mime type msword je ne pourrais te dire... .. .

@ tchaOo°

**ronando** · 28/09/2006, 14h55

C'est bien le type msword j'ai vérifier mais ca ne prend pas pour moi en tout cas sur FF.

Quand je clique pour télécharger le fichier document1.doc par exemple il m'ouvre la fenetre de telechargement :

Vous avez choisi d'ouvrir : document1
Qui est un type de fichier : application/force-download

Alors qu'il devrait mettre type de fichier word + l'extension au fichier ..

**ronando** · 28/09/2006, 15h41

J'utilisais un autre code pour télécharger le fichier. J'avais la boite de dialogue donc je croyais que c'etait ok mais en fait les fichiers son corrompus ou non valide ..

Bref j'ai repris le code
http://php.developpez.com/faq/?page=..._forcedownload

avec tes remplacements, mais ca me donne une page blanche ! et pas de telechargement proposé...

G1002.zip est au meme niveau que la page, j'ai aussi essayé avec le chemin complet.. sans resultat et aucun message d erreur ni rien..
je suis un peu perdu ...

Code complet de la page que j'execute :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
<?php
//
// Constantes de configuration
//
define('CFG_SYSTEM_FILENAME', 'G1002.zip');
define('CFG_SEND_FILENAME', CFG_SYSTEM_FILENAME);
 
//
// Constantes à ne pas modifier
//
define('CFG_DATE_FORMAT', 'D, d M Y H:i:s');
 
//
// Quelques éléments nécessaires
//
error_reporting(0);
ini_set('zlib.output_compression', 0);
/*
 *Début de l'envoi
 */
//
// Gestion du cache
//
header('Pragma: public');
header('Last-Modified: '.gmdate(CFG_DATE_FORMAT).' GMT');
header('Cache-Control: must-revalidate, pre-check=0, post-check=0, max-age=0');
 
//
// Informations sur le contenu à envoyer
//
header('Content-Tranfer-Encoding: none');
header('Content-Length: '.filesize(CFG_SYSTEM_FILENAME));
header('Content-MD5: '.base64_encode(md5_file(CFG_SYSTEM_FILENAME)));
header('Content-Type: application/octetstream; name="'.CFG_SEND_FILENAME.'"');
header('Content-Disposition: attachement; filename="'.CFG_SEND_FILENAME.'"');
 
//
// Informations sur la réponse HTTP elle-même
//
header('Date: '.gmdate(CFG_DATE_FORMAT, time()).' GMT');
header('Expires: '.gmdate(CFG_DATE_FORMAT, time()+1).' GMT');
header('Last-Modified: '.gmdate(CFG_DATE_FORMAT, time()).' GMT');
 
 
?>

**kankrelune** · 28/09/2006, 16h43

essaye ça... .. .

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
 
<?php
 
function getMime($file)
{
	if(false === ($pos = strrpos($file,'.')))
		return  'application/octet-stream';
 
	$mimes = array(
				'hqx'		=> 'application/mac-binhex40',
				'doc'		=> 'application/msword',
				'dot'		=> 'application/msword',
				'bin'		=> 'application/octet-stream',
				'lha'		=> 'application/octet-stream',
				'lzh'		=> 'application/octet-stream',
				'exe'		=> 'application/octet-stream',
				'class'		=> 'application/octet-stream',
				'so'		=> 'application/octet-stream',
				'dll'		=> 'application/octet-stream',
				'pdf'		=> 'application/pdf',
				'ai'		=> 'application/postscript',
				'eps'		=> 'application/postscript',
				'ps'		=> 'application/postscript',
				'smi'		=> 'application/smil',
				'smil'		=> 'application/smil',
				'wbxml'		=> 'application/vnd.wap.wbxml',
				'wmlc'		=> 'application/vnd.wap.wmlc',
				'wmlsc'		=> 'application/vnd.wap.wmlscriptc',
				'xla'		=> 'application/vnd.ms-excel',
				'xls'		=> 'application/vnd.ms-excel',
				'xlt'		=> 'application/vnd.ms-excel',
				'ppt'		=> 'application/vnd.ms-powerpoint',
				'csh'		=> 'application/x-csh',
				'dcr'		=> 'application/x-director',
				'dir'		=> 'application/x-director',
				'dxr'		=> 'application/x-director',
				'spl'		=> 'application/x-futuresplash',
				'gtar'		=> 'application/x-gtar',
				'php'		=> 'application/x-httpd-php',
				'php3'		=> 'application/x-httpd-php',
				'php5'		=> 'application/x-httpd-php',
				'phtml'		=> 'application/x-httpd-php',
				'js'		=> 'application/x-javascript',
				'sh'		=> 'application/x-sh',
				'swf'		=> 'application/x-shockwave-flash',
				'sit'		=> 'application/x-stuffit',
				'tar'		=> 'application/x-tar',
				'tcl'		=> 'application/x-tcl',
				'xhtml'		=> 'application/xhtml+xml',
				'xht'		=> 'application/xhtml+xml',
				'xhtml'		=> 'application/xml',
				'ent'		=> 'application/xml-external-parsed-entity',
				'dtd'		=> 'application/xml-dtd',
				'mod'		=> 'application/xml-dtd',
				'gz'		=> 'application/x-gzip',
				'zip'		=> 'application/zip',
				'au'		=> 'audio/basic',
				'snd'		=> 'audio/basic',
				'mid'		=> 'audio/midi',
				'midi'		=> 'audio/midi',
				'kar'		=> 'audio/midi',
				'mp1'		=> 'audio/mpeg',
				'mp2'		=> 'audio/mpeg',
				'mp3'		=> 'audio/mpeg',
				'aif'		=> 'audio/x-aiff',
				'aiff'		=> 'audio/x-aiff',
				'm3u'		=> 'audio/x-mpegurl',
				'ram'		=> 'audio/x-pn-realaudio',
				'rm'		=> 'audio/x-pn-realaudio',
				'rpm'		=> 'audio/x-pn-realaudio-plugin',
				'ra'		=> 'audio/x-realaudio',
				'wav'		=> 'audio/x-wav',
				'bmp'		=> 'image/bmp',
				'gif'		=> 'image/gif',
				'jpeg'		=> 'image/jpeg',
				'jpg'		=> 'image/jpeg',
				'jpe'		=> 'image/jpeg',
				'png'		=> 'image/png',
				'tiff'		=> 'image/tiff',
				'tif'		=> 'image/tif',
				'wbmp'		=> 'image/vnd.wap.wbmp',
				'pnm'		=> 'image/x-portable-anymap',
				'pbm'		=> 'image/x-portable-bitmap',
				'pgm'		=> 'image/x-portable-graymap',
				'ppm'		=> 'image/x-portable-pixmap',
				'xbm'		=> 'image/x-xbitmap',
				'xpm'		=> 'image/x-xpixmap',
				'ics'		=> 'text/calendar',
				'ifb'		=> 'text/calendar',
				'css'		=> 'text/css',
				'html'		=> 'text/html',
				'htm'		=> 'text/html',
				'asc'		=> 'text/plain',
				'txt'		=> 'text/plain',
				'rtf'		=> 'text/rtf',
				'sgml'		=> 'text/x-sgml',
				'sgm'		=> 'text/x-sgml',
				'tsv'		=> 'text/tab-seperated-values',
				'wml'		=> 'text/vnd.wap.wml',
				'wmls'		=> 'text/vnd.wap.wmlscript',
				'xsl'		=> 'text/xml',
				'mpeg'		=> 'video/mpeg',
				'mpg'		=> 'video/mpeg',
				'mpe'		=> 'video/mpeg',
				'qt'		=> 'video/quicktime',
				'mov'		=> 'video/quicktime',
				'avi'		=> 'video/x-msvideo',
			);
 
	$ext = strtolower(substr($file,$pos+1));
 
	return (isset($mimes[$ext]) ? $mimes[$ext] : 'application/octet-stream');
}
 
//
// Constantes de configuration
//
define('CFG_SYSTEM_FILENAME', 'test.php');
define('CFG_SEND_FILENAME', 'download_name.ext');
 
if(!is_file(CFG_SYSTEM_FILENAME))
   die('file '.CFG_SYSTEM_FILENAME.' not found !!! .. .');
 
 
@error_reporting(0);
@ini_set('zlib.output_compression', 0);
 
header('Pragma: public');
header('Last-Modified: '.gmdate("D, d M Y H:i:s").' GMT');
header('Cache-Control: must-revalidate, pre-check=0, post-check=0, max-age=0');
header('Date: '.gmdate("D, d M Y H:i:s", time()).' GMT');
header('Expires: '.gmdate("D, d M Y H:i:s", time()+1).' GMT');
header('Last-Modified: '.gmdate("D, d M Y H:i:s", time()).' GMT');
header('Content-Tranfer-Encoding: none');
header('Content-Length: '.filesize(CFG_SYSTEM_FILENAME));
header('Content-MD5: '.base64_encode(md5_file(CFG_SYSTEM_FILENAME)));
header('Content-Type: '.getMime(CFG_SYSTEM_FILENAME).'; name="'.CFG_SEND_FILENAME.'"');
header('Content-Disposition: attachement; filename="'.CFG_SEND_FILENAME.'"');
 
?>

@ tchaOo°

**ronando** · 28/09/2006, 17h55

Toujours pareil, page blanche

J'ai bien mi ton code

en remplacant :
test.php et download_name.ext par le nom de mon fichier zip..

**ronando** · 28/09/2006, 18h05

En fait non , j'ai réessayé avec FF et dans une autre fenetre d'IE et j'ai une boite de dialogue qui me propose le telechargement. Donc c'est mieux mais le problème c'est que les fichiers sont vide..

j'ai essayé de telecharger un fichier zip : resultat du fichier telechargé : non valide ou endommagé

un fichier word : que 1 page et des retours à la ligne alors qu'il y avait 17 pages de texte

... pourquoi ca ne telecharge pas bien à ton avis ? le chemin est bon pourtant

**ronando** · 29/09/2006, 10h15

J'arrive a avoir une erreur :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
<br />
<b>Warning</b>:  readfile(): open_basedir restriction in effect. File(/FPAPWEB/1067 FONTAINE.doc) is not within the allowed path(s): (/var/www/data/lri/G/R/8/A/GR8A58RP) in <b>/var/www/data/lri/G/R/8/A/GR8A58RP/FPAPWEB/telecharger.php</b> on line <b>47</b><br />
<br />
<b>Warning</b>:  readfile(/FPAPWEB/1067 FONTAINE.doc): failed to open stream: Operation not permitted in <b>/var/www/data/lri/G/R/8/A/GR8A58RP/FPAPWEB/telecharger.php</b> on line <b>47</b><br />

Si je traduit il y a des restrictions : mon fichier n'est pas dans une endroit autorisé..

Dans mon phpinfo() j'ai trouvé la variable open_basedir et la valeur est : /usr/local/httpd/htdocs/abcd.php////

Je peux pas l'éditer mais le pb vient de là sans doute ?

**kankrelune** · 29/09/2006, 13h40

Tu n'aurais pas le safe_mode d'activé par hasard... .. ?

@ tchaOo°

**ronando** · 29/09/2006, 14h01

si safe_mode= On

c'est pour cela qu'on me bloque le force download ?

**kankrelune** · 29/09/2006, 14h10

C'est pas qu'il te bloque le force download c'est qu'avec le safe_mode à on tu est limité dans l'accès aux repertoires via la directive open_basedir... là ton fichier est dans un répertoire dont l'accès t'es refusé... .. .

Soit tu désactive le safe mode
Soit tu met ton fichier à télécharger dans le bon path

@ tchaOo°

**ronando** · 29/09/2006, 14h27

Oui mais le path de la variable open_basedir est : /usr/local/httpd/htdocs/abcd.php////

Donc je peux rien mettre... c'est pas un path valide,ils font peut etre expres l'hebergeur pour bloquer cela ?

et je peux pas le modifier le php.ini..

**kankrelune** · 29/09/2006, 15h22

ton document root ça serait pas /usr/local/httpd/htdocs/

dans ce cas tes fichiers à télécharger doivent être dans /usr/local/httpd/htdocs/

Où se trouvent ces fichiers... dans un path à part ou dans le path http de ton site... .. .

@ tchaOo°

**ronando** · 29/09/2006, 15h40

mon document root c'est bien ca.

mon phpinfo() est à cette adresse :
http://web.lerelaisinternet.com/abcd.php

Quand je me connecte à mon FTP je suppose que j'arrive juste apres ce chemin : /usr/local/httpd/htdocs/
Donc tu veux dire qu'il faut que je mette les fichiers que je veux à cet endroit précis ?
je peux pas les mettre par exemple dans un repertoire : /usr/local/httpd/htdocs/repertoie1

?
désolé si ce sont des questions bêtes!

[Système] Proteger des fichiers en telechargement ?

Langage PHP

Discussions similaires

Partager

Partager