Segurança dos dados

[ricardo oliveira de jesus 0]

Pessoal, boa tarde. Tenho uma página que assim que a pessoa digita usuário e senha ela já mostra o respectivo PDF para a pessoa na tela. Só que esses arquivos estão em uma pasta no servidor chamada "arquivos". se eu digitar o endereço do site\arquivos ele me mostra um INDEX contendo todos os arquivos da pasta. Como posso protegê-los? Vou postar o PHP:

 

<?php
$login = $_POST['username'];
$senha = $_POST['pass'];

$pasta = "arquivos/"; // criei a pasta arquivo na raiz do projeto
$formato = ".pdf";
$arquivo = $pasta.$login.$senha.$formato; // endereço completo do arquivo

if(file_exists($arquivo)){ // se o arquivo existir
    header("Location:".$arquivo);
}else{
    echo "Arquivo não existe.";
}

?>

 

Obrigado pela ajuda desde já!

[marcosmarcolin 0]

Você pode criar um arquivo index.php e colocar dentro da pasta, redirecionando para a home quando acessada a pasta. Ou uma solução mais robusta, é utilizar htaccess, veja: https://pt.stackoverflow.com/questions/52930/proteger-pasta-contra-acesso-direto

[ricardo oliveira de jesus 0]

Vou olhar... você sempre me salvando brother... obrigado! Fiz da seguinte forma:

 

<?php echo "<script> location.href='https://www.meusite.com'; </script>"; exit; ?> 

 

Deu certo. mas agora que percebi... vou ter que colocar esse arquivo em todas as pastas? as outras estão mostrando o conteúdo ainda...

[Gabriel Heming 766]

Crie um arquivo .htaccess no root do seu site e adicione o seguinte comando:

Options -Indexes

Isso fará que, na pasta em questão e suas respectivas subpastas, não seja mais exibidos a lista de arquivo.

 

Entretanto, ainda existe uma segunda falha. Se alguém tiver o link direto do arquivo, poderá acessá-lo sem se logar.

 

O mais recomendado é que a pasta de arquivos fique fora do public, ou seja, que a pasta não seja acessível via browser. Dessa forma, somente o PHP possuiria acesso e você pode utilizar o código abaixo para exibir o arquivo:

<?php
$file = './path/to/the.pdf';
$filename = 'Custom file name for the.pdf'; /* Note: Always use .pdf at the end. */

header('Content-type: application/pdf');
header('Content-Disposition: inline; filename="' . $filename . '"');
header('Content-Transfer-Encoding: binary');
header('Content-Length: ' . filesize($file));
header('Accept-Ranges: bytes');

readfile($file);