Situazione iniziale
Per un sito che sto configurando, stavo esaminando l'intero campo della protezione di upload / download e la limitazione dell'accesso in base ai ruoli / alle capacità degli utenti. Naturalmente ho letto alcune delle precedenti domande relative all'argomento (generale) qui, per motivi di riferimento le più importanti / interessanti che ho trovato:
- Come proteggere i caricamenti, se l'utente non ha effettuato l'accesso?
- Come limitare l'accesso ai file caricati?
- Limitare l'accesso ai file all'interno di una cartella specifica
- Come rendere privato il caricamento di file multimediali?
- Unire lo script di download di PHP in `Functions.php`
Note supplementari
Generalmente non è una cattiva idea migliorare ulteriormente la sicurezza dell'installazione di wordpress, ad esempio proteggendola wp-config.php, ci sono molte cose che puoi e dovresti fare. Ci sono un sacco di informazioni là fuori su come farlo. Sono nel contesto di questa domanda principalmente preoccupata per i miei upload / download.
I caricamenti di Wordpress non sono protetti, tutti possono sfogliare la uploadscartella, a meno che tu non la impedisca con un .htaccess:
Options All -IndexesIl .htaccessfile deve essere inserito nella uploadscartella. Ma questo non li sta davvero proteggendo, rende solo più difficile trovare i file. Inoltre puoi prevenire hotlinking, limitando essenzialmente l'accesso in base a referrer- anche se questo è un po 'diverso, ho pensato di menzionarlo, non sto elaborando ulteriormente, puoi trovare molte informazioni al riguardo.
Naturalmente ha la possibilità di rendere privati i post o creare un tipo di post personalizzato con file modello adatti per rendere quel tipo di post privato, ma ciò non protegge i tuoi file. Lo stesso si può dire per avvolgere i file in condizioni come is_user_logged_in()o is_admin().
Su un sidenote ci sono molti plugin là fuori che promettono di rendere i tuoi file sicuri e protetti, ma molti di loro stanno solo fingendo di farlo, alcuni dei motivi sono sopra. Lo sto solo cercando perché sono abbastanza sicuro che non sia noto a tutti, quindi, sappi che.
Obbiettivo
La mia intenzione era quella di essere in grado di limitare l'accesso ad (alcuni) upload e download rispettivamente. E per assicurarsi che nessuno indesiderato possa accedervi, non per caso o se qualcuno conosceva il nome del file, i file dovrebbero essere davvero privati e sicuri. Dopotutto solo alcune persone dovrebbero avere accesso senza eccezioni.
Inoltre non ho avuto bisogno di privatizzare l'intero sito, anzi sarebbe controproducente - è usato per scopi di presentazione pubblica. Inoltre volevo che la soluzione fosse facilmente utilizzabile, per la semplice ragione che alcune persone che ci lavorano non sono esattamente esperti di computer, come spesso accade.
Domanda
Da qui la domanda, esiste un modo (relativamente) semplice per limitare l'accesso ad (alcuni) caricamenti e ai rispettivi download? E come ho fatto, questo significa un modo per proteggerli davvero e metterli in sicurezza?