有关下载的看法

一、下载功能其实很好实现，原来直接将文件的地址直接放在a里就可以实现了。但是这样给系统的安全性带来了不少的隐患。怎样隐藏下载文件的真实地址？

有一种办法，其主要思想是：1.以二进制数据流方式打开欲下载文件。2.按二进制数据流读取，并输出3.输出的内容强制浏览器打开一个下载框，以便下载。

打开一个文件可以用fopen()方法，文件的路径在此方法中以参数的方式传入，这样便实现了隐藏文件真实路径的目的，而不是简单的用a将文件绝对路径暴露。下面是我写的一个简单的下载类：(重要部分已添加说明)

 

<?
class  downLoad {
     function  downLoading( $fileUrl , $fileName ){
         // 判断文件是否存在
         if ( $this -> fileExists( $fileUrl , $fileName ) == false ){
         exit ();
        }
         // 获得文件大小
         $fileSize   =   filesize ( $fileUrl . $fileName );
         // 已二进制方式打开文件
         $objDownload   =   fopen ( $fileUrl . $fileName , " rb " );
         // 发送header
         header ( " Content-type:application/octet-stream " ); // 设置文件类型为二进制数据流
         header ( " Content-length:$fileSize " ); // 文件大小
         header ( " Content-Disposition: attachment;filename=$fileName " ); // 提供推荐的文件名来强制浏览器弹出一个保存文件对话框。
         fpassthru ( $objDownload );
    }
     function  fileExists( $fileUrl , $fileName ){
         $what   =   file_exists ( $fileUrl . $fileName );
         return   $what ;
    }
}
?>

二、虽然实现了文件路径的隐藏，但是还是感到不是十分的安全。

功能1、当该文件需注册后才能下载

session_start ();
if ( ! isset ( $_SESSION [ " loginname " ])){
echo   " 对不起，你无权下载！ " ;
exit ();
} else {
    $do   =   new  downLoad();
    $do -> downLoading( " ../download/file " , $_GET [ " filename " ]);
}

功能2.每个用户有自己的下载文件，其他用户不能下载。

功能1可以简单的过滤下载用户，但是只要存在session在url中输入其他文件地址就可以下载其他用户的任意文件了，不好。

失败案例1：我试着禁掉用户在url中输入下载地址：（http_referer为链接到该页的前一页地址，server_name为当前运行脚本所在服务器主机的名称。当前一页中以a链接至此页时http_referer有值，而当使用页面刷新、header、javascript时http_referer不存在！这三种方式在IE中不会视为事件使http_referer产生值!）

$serverName   =   $_SERVER [ ' SERVER_NAME ' ];
$httpReferer   =   $_SERVER [ ' HTTP_REFERER ' ];
$requestArray   =   explode ( " / " , $httpReferer );
$requestSN   =   $requestArray [ 2 ];
if ( $httpReferer == "" || $requestSN != $serverName ){
echo   " 非法链接！ " ;
exit ();
}

这样只有在用户在本站中有<a href=""></a>链接时才能下载该文件，其他网站的盗用或着url直接输入不会下载该文件。（假设本站不会提供其他用户资源的a链接，只提供该用户自己的资源链接地址）用户在想要非法下载其他用户的资源时，一般会在url中输入地址，这样貌似解决了功能2的需求，但是当使用迅雷工具下载时，在其提供的url输入地址却任然可以下载其他用户资源，这是因为，当以迅雷下载时，可以看做触发了a时间http_referer不为空！

2.其他思想：

想用户下载资源似有化貌似只能使该用户id对应自己相应的资源。

方法1.存储一个用户下载列表。当下载时比对。

方法2.使用标志位来命名资源。当下载是判断。

方法3.使用linux中的权限控制。（未实现）

以上纯属个人看法，忘大虾务笑。下载安全问题一直是块心病，倘若有更好的方法，还忘高人指教。小弟谢过。