Newsgroup: it.comp.www.php
Titolo: Piccolo chiarimento su aree protette

Salve a tutti,
sto realizzando un sito che ha un'area protetta a cui si accede (ovviamente)
inserendo nome utente e password e per accedere alle pagine php protette
faccio uso dei cookie.
Lo scopo di quest'area è quello di garantire l'accesso ad alcune immagini ad
alta definizione a determinati utenti.
A questo punto mi sorge una domanda: non è che magari qualcuno, conoscendo
la cartella in cui tali immagini sono contenute, bypassando l'accesso alla
pagina php può scaricarsi direttamente le foto (es. inserendo nella barra
d'indirizzo di explorer 
www.sito.it/immagini/immaginechemifreghi.jpg
 <- non
cliccateci, non credo esista :)))) ?
Non so se può essere utile, ma il server in cui ho acquistato lo spazio usa
linux.
Grazie x eventuali chiarimenti

 ha detto:

Si lo può fare, se sa il pecorso! Puoi evitare il problema proteggendo
la cartella immagini con .htaccess, che penso che tu possa fare visto
che il server è linux.
Ciao
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC è possibile!
Software libero, PHP, MySQL, Webdesign, Sicurezza, CMS, Tutorials
Per rispondere in e-mail togli NOSPAM 

 che il server è linux.
Innanzitutto grazie x la celerità della risposta :)
Credo proprio che userò .htaccess, comunque, giusto x avere le idee +
chiare, se un utente non è a conoscenza del percorso non c'è modo di
risalirci (cioè non può vedere file o directory presenti in una determinata
cartella del mio sito) ?
ciao e grazie ancora

 cliccateci, non credo esista :)))) ?
o proteggi la cartella con gli .htaccess oppure la metti in una cartella
precedente alla directory root del sito, e le immagini le mandi in output
con il php. questo lo dovresti fare anche con gli htaccess perchè se hai
questo pezzo di html
<img src="/cartellaprotetta/immagine.jpg">
nel momento in cui il browser richiede l'immagine credo che gli venga fuori
la richiesta di inserire username e password (quella del server)
Ora che ci penso basta impostare i permessi sulla cartella in modo
corretto... dovrebbe essere qualcosa del tipo:
owner (tu) rwx
gruppo (tuo) r-x
altri ---
che tradotto significa
(111)(101)(000) = (7)(5)(0)
Però il php dovrebbe accedervi... quindi il php (anzi, apache) deve
appartenere al tuo gruppo oppure devi impostare come gruppo quello con cui
gira apache (non ricordo quello di default, ma se crei un file nuovo con il
php lo vedi - e sicuramente lo trovi in qualche file di configurazione)
quindi ricapitolando
mkdir cartellaprotetta
chown io:gruppodiapache cartellaprotetta
chmod 0750 cartellaprotetta
sempre che non mi stia sbagliando, eh!
Provando ad aprire la cartella dal browser dovrebbe dare un bel "forbidden"
Prova anche a mettere un file dentro la cartella e richiamarlo dal browser.
Se mai dovesse andare basta impostare i permessi a tutti i file:
rw-r-----
110 100 000 -> 640
chown -R io:gruppodiapache ./*
chmod -R 0640 ./*
Ludovico Grossi

cartella del mio sito) ?
Anche questo dipende da come è impostato apache, digitando ad esempio
http://www.tuosito.it/immagini
 in alcuni casi apache ti fa vedere
l'albero con tutti i file (se non è presente una index.html o
index.php), in altri invece ti proibisce l'accesso, dipende
dall'httpd.conf; solitamente comunque si può proteggere le dir dal
pannello di controllo dell'hosting, se non lo fosse ti basta mettere
una index.html vuota in ogni dir che non vuoi far vedere.
Però se tu fai aprire le immagini direttamente nel browser l'utente
può facilmente vedere il percorso, e comunicarlo anche a chi non ha i
dati di accesso, può anche non essere un problema dipende dalle tue
esigenze.
Io ho implementato una cosa di questo tipo: un'area di accesso
riservata con username e password, ho memorizzato in cartelle i file
(pdf) che possono essere scaricati solo dagli utenti autorizzati ele
ho protette con .htaccess; il download avviene tramite invio di
header, in modo che l'utente non possa vedere il percorso, ed anche se
lo sapesse non ci potrebbe accedere perché apache lo bloccherebbe.
Spero di esserti stato d'aiuto.


 Francesco
ciao
Domenico

Grazie anche a te x le info.
Ora vaglio le varie soluzioni che mi avete proposto (il livello di
protezione che mi serve non vuole essere altissimi, quindi opterò x la +
semplice).
ciao
Domenico