Назад | Перейти на главную страницу

Защитите общедоступные каталоги от загрузки через wget и curl

Мои пользователи загружают изображения своих профилей, и я сохраняю их в общей папке. Имена файлов непредсказуемы (они основаны на md5-хэше идентификатора пользователя с солью). Когда кто-то просматривает профиль пользователя, я вставляю ссылку на изображение пользователя.

Я беспокоюсь, что кто-то может загрузить весь каталог и неправильно использовать изображения. Как я могу от этого защититься? В частности:

ОБНОВЛЕНИЕ: я использую сервер ubuntu

Имена файлов непредсказуемы (они основаны на md5-хэше идентификатора пользователя с солью). Когда кто-то просматривает профиль пользователя, я вставляю ссылку на изображение пользователя.

Позвольте мне перевести это: каждый, кто знает, как получить страницу профиля, знает URL-адрес изображения.

Я понимаю, что wget уважает robots.txt, но могу ли я на это положиться?

Нет.

Как правило - вы можете полагаться на этот тип безопасности только в том случае, если неизвестность является абсолютной. Любой, кто обращается к странице, ссылающейся на изображение, может получить изображение.

Anyonene может попытаться угадать имена, но вы можете легко заблокировать их .... или просто используйте длинные длинные случайные ключи, чтобы сделать попадание очень редким.