Web サイトにアップロードされたファイルを数分間公開できるようにする必要がありますが、安全に保つ必要があります。長いランダムな名前の一時フォルダーを作成するだけで十分ですか?
PHP スクリプトは、フォルダーを作成し、使用可能にしてから削除します。また、スクリプトが削除される前に中止された場合に備えて、15 分ごとに (共有ホストが許可する頻度で) cron ジョブを実行して、15 分を超えるフォルダーを削除します。
前もって感謝します。
編集申し訳ありませんが、詳細情報を提供する必要があります。ファイルは cloud-api サービスを使用して変換されており、形式を変換するにはファイルへの URL が必要です。APIプロバイダーのIPを見つけることができたと思いますか？
「十分」というのは、私たちがお手伝いできることではありません。セキュリティ エンジニアリングでは、「攻撃者がこの情報やアクセスを取得するためにどれだけのお金や時間を費やすことをいとわないか」によってこれを評価するのが一般的です。
ファイルにビル ゲイツの銀行口座の詳細が含まれている場合、膨大な時間と費用がかかる可能性があり、解決策は非常に不十分です。
ファイルに子猫の写真が含まれている場合、攻撃者が消費しようとするエネルギーの量は最小限である可能性が高く、おそらくそれを回避できます。
セキュリティを評価するためにできるもう 1 つのことは、攻撃者がセキュリティを破るのに何が必要かを想像することです。あなたの場合、攻撃者はまず、このデータを共有するために使用しているプロセスを知る必要があります。彼らは、不満を抱いた従業員、誤って構成された robots.txt ファイル、またはあなたとデータ クライアント間の IP トラフィックのスニッフィング、または Stack Overflow の質問を読むことによって、これを取得できます。
では、どうすればそれを防ぐことができますか？IP スニッフィングは、SSL を使用することで軽減できます。攻撃者がトラフィックをスニッフィングできたとしても、あなたが何をしているのかを理解することはできません。robots.txt は、自分で管理する必要があるものです。不満を抱いている従業員が最も可能性が高いベクトルです。そのため、この情報はできるだけ小さなグループに限定し、NDA やその他の法的なフーハーを検討してください。
彼らがあなたの計画を練り上げたら、どのように侵入するのでしょうか? 明らかな攻撃ベクトルは、IP スニッフィングと URL 生成スキームの推測であり、ロボットを使用して徹底的な検索を行うか、ランダムな名前生成アルゴリズムを実行します。ああ、その URL を他の誰かに提供している場合、彼らがその通信を傍受できれば、あなたのデータを盗むこともできます.
IP スニッフィングを防ぐには、再び SSL が必要です。徹底的な検索を防ぐための最善の (ただしこれだけではありませんが) 解決策は、IP 制限を実装することです。これにより、既知のホストのみがそのディレクトリからページを要求できるようになります。ランダムなアルゴリズムの推測を防ぐには、強力なランダマイザー アルゴリズムを使用する必要があります。これを読んでください。思ったほど簡単ではありません。
最後に、攻撃者がこれらのセキュリティ レイヤーをなんとか通過した場合、データを暗号化し、クライアントにキーを発行することができます。
これらの手順をどれだけ実行するかはユーザー次第です。また、攻撃者がシステムに簡単にアクセスできるようにする脆弱性が他にもある場合、これはセキュリティを保証するものではないことに注意してください。
readfileログイン/セッション情報を確認し、ユーザーがファイルをダウンロードする権利を持っているかどうかを確認するよりも、ファイルをロードしてユーザーに送信するために使用するphpファイルを使用することをお勧めします。直接ダウンロードするためにファイルを公開する必要はありません。