Direkt-Links auf Dateien verhindern

[tontechniker]

Du kannst den HTTP_REFERER überpüfen.

[Azadoras]

Ah, supi, danke. Ich hab das einfach mal gegoogelt und direkt der erste Code-Schnipsel bringt den gewünschten Erfolg:

<?php

$mydomain = 'blabla.de';
if( $_SERVER['HTTP_REFERER'] != "" || preg_match("/http:\/\/(www\.)?$mydomain\//i",$_SERVER['HTTP_REFERER']) > 0 )
 {
   echo "Juhu!";
 }
 else
    {
      echo "Ätsch!!";
    }
?>

Gracias Senor!

[PHP-Desaster]

Soweit ich weiß, wird dieser aber nicht immer übergeben. Vielleicht ist da eine Lösung über eine Sessionvariable sicherer oder als Ergänzung.

[Azadoras]

Hrm. Jo, ich hab eben auch noch ein Problem bemerkt.

Ich habe mein Script nun so angepasst, dass dort wo "Juhu!" steht der Download ausgeführt wird, und dass dort wo oben das "Ätsch!" steht man per header("Location: x"); zu entsprechender Seite weitergeleitet wird.

Gibt man www.bla.de/download.php?id=x in die Adresszeile des Browsers ein, dann funktioniert das auch so wie es soll und man wird zu dem EIntrag mit entsprechender ID weitergeleitet.

Klickt man dann im Eintrag auf "Download" dann wird der Eintrag korrekt heruntergeladen. Soweit so gut.

Ist nun aber auf einer andere HP ein Direktlink zum Download, dann wird man aber nicht weitergeleitet, sondern der Download startet sich direkt.

Liegt das an dem von dir erwähnten "Nicht immer übergeben werden" ?

Meinst du das mit der Session-Variablen so, dass auf der Seite, die den Eintrag zeigt eine Session erzeugt wird und darin eine Variable erstellt wird, deren existenz im Downloadscript VOrraussetzung für den Start des Downloads ist ? Gute Idee eigentlich. Gibt es dabei den auch Wege das zu umgehen, oder kann ich dann relativ sicher sein, dass ein Download nur von der Seite, die die Beitrag zeigt möglich ist ? :>

[3DMax]

ich würde auch die session-lösung bevorzugen.

bei dem referer besteht die gefahr, user auszusperren:

12.3. Warum ist es schlecht, mit dem Referer zu arbeiten?

[PHP-Desaster]

Meinst du das mit der Session-Variablen so, dass auf der Seite, die den Eintrag zeigt eine Session erzeugt wird und darin eine Variable erstellt wird, deren existenz im Downloadscript VOrraussetzung für den Start des Downloads ist ? Gute Idee eigentlich. Gibt es dabei den auch Wege das zu umgehen, oder kann ich dann relativ sicher sein, dass ein Download nur von der Seite, die die Beitrag zeigt möglich ist ? :>

So meine ich das. Speicherst dann noch die Zeit mit, dann hast du vielleicht nur ein Zeitfenster von 2-3 Minuten zum Download. Musst dann natürlich die SID an den Download weitergeben, um Keine-Cookie-User nicht auszusperren. Dann ist das schon recht gut. Das ist dann imho unmöglich, einen direkten Link zu setzen.

[3DMax]

Original geschrieben von Azadoras
Meinst du das mit der Session-Variablen so, dass auf der Seite, die den Eintrag zeigt eine Session erzeugt wird und darin eine Variable erstellt wird, deren existenz im Downloadscript VOrraussetzung für den Start des Downloads ist ? Gute Idee eigentlich.

ja, finde ich auch

Original geschrieben von Azadoras
Gibt es dabei den auch Wege das zu umgehen, oder kann ich dann relativ sicher sein, dass ein Download nur von der Seite, die die Beitrag zeigt möglich ist ? :>

mit einem script, das sich erst eine session-id besorgt und dann das bild holt, ist es möglich diesen schutz zu umgehen.
ist nur die frage wieviel aufwand es dir oder der gegenseite wert ist.

richtig sicher wirst du es nur mit einem login-system bekommen.

[Azadoras]

Mensch, was wär ich nur ohne euch. Vielen Dank, das klappt ziemlich gut, ich bau mir nurnoch fix die Zeitsperre ein, dann macht das Ding genau das, was ich will.

Großes Dankeschön an euch!