[php] download beveiliging

[sharkzor]

ik ben bezig met een download.php die eerst checked of je wel gerechtigd ben om het bestand te downloaden. deze roep je aan via download.php?id=123
Bovenin doe ik de check en als die geldig is doe ik het volgende:

PHP:

header('Content-Description: File Transfer'); 
header('Content-Type: application/octet-stream'); 
header('Content-Length: ' . filesize("./rapporten/$file")); 
header('Content-Disposition: attachment; filename=' . basename($file)); 
echo readfile("./rapporten/$file");

dit heb ik dus na een aantal zoektochten gevonden.

in firefox krijg ik het juiste bestand aangeboden en dat werkt verder prima. maar in internet explorer krijg ik eerst een open/save/cancel windows. doe ik save dan krijg ik een mooie error.
"internet explorer cannot download download.php?id=123 from blabla.nl
Internet explorer was not able to open this internet site. the requested site is either unavailable or cannot be found. please try again later."

doe ik open dan krijg ik een nieuwe window waarbij ik hem wel kan opslaan (open,save,cancell).

vreemd.... dit zou moeten werken volgens vele sites...

[ Voor 10% gewijzigd door sharkzor op 20-01-2006 11:24 ]

[OverSoft]

Zo zou het ook moeten werken, zo doe ik het ook voor mijn PDFjes op mijn sites.
Al op een andere PC geprobeerd?
Weet je zeker dat je niet ergens een header met location hebt staan?

[BarôZZa]

Misschien dat dit helpt?

code:

header("Content-Type: application/force-download");

in plaats van

code:

header('Content-Type: application/octet-stream');

[sharkzor]

BarôZZa schreef op vrijdag 20 januari 2006 @ 11:34:
Misschien dat dit helpt?

code:

header("Content-Type: application/force-download");

in plaats van

code:

header('Content-Type: application/octet-stream');

nop. dan krijg ik gelijk de foutmelding.... vaag

[MTWZZ]

Helpt dit:
http://www.barad-dur.nl/nx/tutorials/securedownload/

[TheRookie]

@MTWZZ:

code:

XML Parsing Error: mismatched tag. Expected: </meta>.
Location: http://www.barad-dur.nl/nx/tutorials/securedownload/
Line Number 48, Column 3:</head>
                         --^

met ff 1.5

[sharkzor]

MTWZZ schreef op vrijdag 20 januari 2006 @ 13:56:
Helpt dit:
http://www.barad-dur.nl/nx/tutorials/securedownload/

leuk. dit werkt met internet explorer (al krijgt de bestandsnaam automatisch download.pdf)
maar niet met firefox! die opent de zaak als platte tekst in de browser

dit heb ik eruit gevist:

PHP:

$fp = fopen("./rapporten/$file","r"); 
fpassthru($fp); 
bestandfclose($fp);

Als ik alle headers van mn andere post meestuur doet firefox het weer wel, maar ie6 het niet meer...
lijkt m dus in de headers te zitten.. kan het iets met iis te maken hebben?

[ Voor 19% gewijzigd door sharkzor op 20-01-2006 15:42 ]

[sharkzor]

ik post even een reply. als ik het stukje code in een los bestand mik, dan doet hij het wel!

het komt dus blijkbaar door de code erboven... maar ik zou niet weten waardoor het komt.
let nog even niet op de rommel, nog niet alles werkt perfect (login enzo) dus het is ffe een test bestandje.

PHP:

<?php
    session_start();
    require('configuratie.php');
    $logindir = "login/"; //dit is om aan te geven waar het loginscript staat
    require($logindir."connect.inc.php");
    require($logindir."login_functions.inc.php");
    $rDbConn = connect_to_database();
    $acces = "denied";
    $rapid = $_GET["id"];
    
//  if(!check_login($rDbConn))
//  {   echo 'u bent niet ingelogd'; }

if($acces != "denied") //om ffe te testen
{
}
    else
    {
        //klant id opvrage
        if(isset($_SESSION['klantid']))
        {   $kid = $_SESSION['klantid'];    }
        else
        {   $kid = $_COOKIE['klantid'];     }
        $kid =44;
        
        //in gekochte rapporten zoeken
        $SQLquery = "SELECT id FROM bestellingen WHERE betaald = 'ja' AND klantid = $kid AND id IN(SELECT caseid FROM caseregels WHERE rapid = $rapid)";
        $result=mysql_query($SQLquery);
        if(mysql_num_rows($result) > 0)
        {
            $acces = "granted";
        }
        else
        {
            //checken abo       
            $sql3 = "SELECT cas.aboid FROM caseregels cas, abonnement abo WHERE cas.aboid=abo.id AND caseid IN(SELECT id FROM bestellingen where klantid = $kid AND betaald = 'ja')";
            $result3=mysql_query($sql3);
            while($row3 = mysql_fetch_array($result3, MYSQL_NUM))
            {
                $sql4="SELECT rap.id FROM aborap ar, rapport rap WHERE rap.id = $rapid AND ar.aboid = $row3[0]";
                $result4=mysql_query($sql4);
                if(mysql_num_rows($result4)>0)
                { $acces = "granted"; }     
            }

        }
    }
    if($acces == "granted")
    {
        //rapport opvragen
        $SQLquery5 = "SELECT locatie FROM rapport WHERE id = $rapid";
        $result5=mysql_query($SQLquery5);
        $row5 = mysql_fetch_array($result5, MYSQL_NUM);
        $file = $row5[0];

    // verstuur de headers om het bestand te downloaden 
        
        header('Content-Description: File Transfer'); 
        header('Content-Type: application/force-download'); 
        header('Content-Length: ' . filesize("./rapporten/$file")); 
        header('Content-Disposition: attachment; filename=' . basename($file)); 
        $fp = fopen("./rapporten/$file","r"); 
        fpassthru($fp); 
        bestandfclose($fp);
 
    }
        
        
?>

de bestanden die require opvraagt bevatten alleen maar pure php code. geen echo's of andere meuk die headers verstuurd...
wie weet het antwoord?

[ Voor 11% gewijzigd door sharkzor op 20-01-2006 15:50 ]

[MTWZZ]

TheRookie schreef op vrijdag 20 januari 2006 @ 14:13:
@MTWZZ:

code:

XML Parsing Error: mismatched tag. Expected: </meta>.
Location: http://www.barad-dur.nl/nx/tutorials/securedownload/
Line Number 48, Column 3:</head>
                         --^

met ff 1.5

Vreemd hier met 1.0.7 geen problemen. De W3 Validator vindt het ook prima. Ik zal er iig even naar kijken.

Nog even een link naar een werkende versie van dit ding. (Het kan zijn dat m'n tutorial een tikje afwijkt )
http://www.barad-dur.nl/pub/securedl.php

[ Voor 18% gewijzigd door MTWZZ op 20-01-2006 17:48 ]

[Depress]

Je gebruikt mysql_fetch_array, en je vraagt de data op met:

PHP:

$row5[0]

Volgens mij is het toch:

PHP:

$row['veldnaam']

En je moet quotes buiten vars plaatsten:

PHP:

$var = 'Geblaat'.$bla.'Meer geblaat';

[Verwijderd]

Depress schreef op vrijdag 20 januari 2006 @ 19:30:
Je gebruikt mysql_fetch_array, en je vraagt de data op met:

PHP:

$row5[0]

Volgens mij is het toch:

PHP:

$row['veldnaam']

En je moet quotes buiten vars plaatsten:

PHP:

$var = 'Geblaat'.$bla.'Meer geblaat';

Niets van bovenstaande is waar, althans niet in de zin dat daar fouten door ontstaan.

De array mag je idd met de veldnaam aanspreken, maar het indexnummer werkt ook. Voor de werking mogen vars binnen de quotes staan.

Je opmerkingen zijn niet onterecht, je hebt gelijk dat jouw methodes netter zijn, maar het is dus niet noodzakelijk.

[ Voor 4% gewijzigd door Verwijderd op 20-01-2006 23:29 ]

[sharkzor]

ik geloof dat ik zegegd had dat dit een testscript was... wat betekend dat niks nog netjes is. wat me trouwens even niet boeid, het moet eerst werken.

[Spockz]

Dit is wat ik gebruik, het werkt in Firefox 1.5 en IE 6 andere heb ik niet geprobeerd.

PHP:

session_start('id');
    
if(isset($id) && is_numeric($id))
{
    require ('database.php');

    connecttodatabase();
    $query   = "SELECT name, type, size, content FROM hw_downloads WHERE id = '$id'";
    $result  = mysql_query($query) or die('Error, query failed');
    list($name, $type, $size, $content) = mysql_fetch_array($result);
    $name = str_replace(' ', '_', $name);
    
    header("Content-Disposition: attachment; filename=$name");
    header("Content-length: $size");
    header("Content-type: $type");
    echo $content;

    exit;
}

En dan kijk ik gewoon met behulp van sessies of dat bestand wel gedownload mag worden met die 'rang'.

[sharkzor]

ja, lijkt wat op die van mij.
Dit heb ik nu als test ernaast

PHP:

$file="ci0001.pdf";
header('Content-Description: File Transfer'); 
header('Content-Type: application/force-download'); 
header('Content-Length: ' . filesize("./rapporten/$file")); 
header('Content-Disposition: attachment; filename=' . basename($file)); 
$fp = fopen("./rapporten/$file","r"); 
fpassthru($fp); 
bestandfclose($fp);

het vreemde is dat het ZO wel werkt. dit is exact dezelfde code als in mn bestand wat je hierboven ziet.... ik snap er echt NIKS meer van....

[update]
als ik session_start() wegslash dan doet hij het wel!!!! WTF????? iemand een verklaring?

[ Voor 17% gewijzigd door sharkzor op 20-01-2006 22:44 ]

[Spider.007]

Weet je heel zeker dat er in je originele script geen enter of andere whitespace ergens voor je script zit? Daar willen browsers nog weleens over vallen.

als ik session_start() wegslash dan doet hij het wel!!!! WTF????? iemand een verklaring?

session_start verstuurd een cookie die IE wellicht niet kan waarderen?

[sharkzor]

Spider.007 schreef op vrijdag 20 januari 2006 @ 22:59:
Weet je heel zeker dat er in je originele script geen enter of andere whitespace ergens voor je script zit? Daar willen browsers nog weleens over vallen.


[...]
session_start verstuurd een cookie die IE wellicht niet kan waarderen?

nop. alles is puurt...

en over die sessies, Spockz gebruikt dat ook en bij hem werkt het wel... vreemd dat het na het weghalen het bij mij pas ook weer doet...

heeft iemand nog een idee? anders ben ik genoodzaakt een id check te doen zonder sessies. beetje lastig omdat mn cookies nog niet echt willen meewerken van het login script