如何通过自定义 Image ID 安全下载服务器存储的文件-php教程-PHP中文网

如何通过自定义 Image ID 安全下载服务器存储的文件

本文介绍如何根据数据库中手动设置的 image id，动态生成指向实际文件路径的下载链接，并强调路径安全、文件扩展名处理与基础防护措施。

本文介绍如何根据数据库中手动设置的 image id，动态生成指向实际文件路径的下载链接，并强调路径安全、文件扩展名处理与基础防护措施。

在文件共享类 Web 应用中，常需按用户自定义标识（如 imageid）下载对应文件。但需注意：直接暴露文件物理路径或使用未校验的 ID 构造 URL 存在严重安全隐患（如路径遍历攻击、任意文件读取）。正确的做法是：将文件统一存放在 Web 不可直接执行的目录（如 uploads/），并通过一个受控的下载脚本（如 download.php）完成权限校验、MIME 类型设置与安全响应。

以下是推荐实现方案：

✅ 1. 数据库结构与存储规范

确保 fileup 表包含必要字段：

CREATE TABLE fileup (
  id INT PRIMARY KEY AUTO_INCREMENT,
  owner VARCHAR(50),
  image VARCHAR(255) NOT NULL, -- 手动设置的 image ID（如 "IMG-2024-001"）
  original_name VARCHAR(255),   -- 原始文件名（用于下载时建议保存名）
  upload_time TIMESTAMP DEFAULT CURRENT_TIMESTAMP
);

所有上传文件应存于 Web 根目录外的受保护目录，例如：
/var/www/filesharing/uploads/（Linux）或 C:\xampp\htdocs\filesharing\uploads\（Windows）

✅ 2. 前端列表页（安全展示 + 参数化链接）

避免拼接不安全 URL，改用 download.php 统一入口，传入经验证的 image_id：

<?php $owner = $_SESSION['name'] ?? '';
if (empty($owner)) {
    die("Unauthorized access.");
}

$conn = mysqli_connect("localhost", "root", "", "filesharing");
if (!$conn) die("DB connection failed.");

$sql = "SELECT image, original_name FROM fileup WHERE owner = ?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $owner);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    while ($row = $result->fetch_assoc()) {
        $safeImageId = htmlspecialchars($row['image']);
        echo '<p class="btn2">' . $safeImageId . '</p>';
        // 使用 GET 传递唯一、可信的 image ID（非路径）
        echo '<a class="btn3" href="download.php?id='%20.%20urlencode(%24row['image'])%20.%20'">Download</a><br><br>';
    }
} else {
    echo "<p class="message">NO files uploaded yet!</p>";
}
?>

✅ 3. download.php —— 安全下载核心逻辑

该脚本负责：身份校验、ID 查询、路径白名单限制、MIME 推断与强制下载头：

<?php session_start();
if (!isset($_SESSION['name'])) {
    http_response_code(403);
    exit("Access denied.");
}

$id = $_GET['id'] ?? '';
if (empty($id) || !preg_match('/^[a-zA-Z0-9._-]{3,64}$/', $id)) {
    http_response_code(400);
    exit("Invalid image ID format.");
}

$owner = $_SESSION['name'];
$conn = mysqli_connect("localhost", "root", "", "filesharing");
$sql = "SELECT original_name, image FROM fileup WHERE image = ? AND owner = ?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("ss", $id, $owner);
$stmt->execute();
$row = $stmt->get_result()->fetch_assoc();

if (!$row) {
    http_response_code(404);
    exit("File not found or access denied.");
}

// 白名单限定文件存储根目录（禁止 ../ 等路径穿越）
$uploadDir = __DIR__ . '/uploads/';
$filePath = $uploadDir . basename($row['image']); // 严格使用 basename() 防御路径注入

if (!is_file($filePath) || !is_readable($filePath)) {
    http_response_code(404);
    exit("File not accessible.");
}

// 推荐：根据扩展名设置 MIME，避免浏览器解析执行
$extension = strtolower(pathinfo($filePath, PATHINFO_EXTENSION));
$mimes = [
    'pdf' => 'application/pdf',
    'jpg' => 'image/jpeg',
    'png' => 'image/png',
    'zip' => 'application/zip',
    'txt' => 'text/plain',
];
$mime = $mimes[$extension] ?? 'application/octet-stream';

// 强制下载（而非浏览器内联显示）
header('Content-Type: ' . $mime);
header('Content-Disposition: attachment; filename="' . 
    (basename($row['original_name'] ?: $row['image'])) . '"');
header('Content-Length: ' . filesize($filePath));
header('Cache-Control: no-cache');
readfile($filePath);
exit;
?>