¿Cómo evitar los riesgos de seguridad de UNLINK en PHP?

Question

Estoy usando UNLINK con PHP y AJAX. Sé que de esta manera es muy peligroso, porque todos pueden eliminar cualquier archivo. Pero necesito usar AJAX porque no puedo volver a cargar la página cuando borro los archivos.

Entonces, ¿cómo debo hacer para permitir que se elimine el archivo solo para el usuario que lo posee?

por favor hágamelo saber otras cosas también si usted piensa que estoy haciendo aquí algo mal o algo más de lo que tiene en mente y cree que será útil:)

Mi código PHP:

---

<?php 

    $photo_id  = $_GET['photo_id']; 
    $thumbnail_id = $_GET['thumbnail_id'];  

    function deletePhotos($id){ 
     return unlink($id); 
    } 

    if(isset($photo_id)){ 
     deletePhotos($photo_id); 
    } 
    if(isset($thumbnail_id)){ 
     deletePhotos($thumbnail_id); 
    } 


?> 

Mi código AJAX:

---

function deletePhoto(photo, thumbnail){ 

     var photos = encodeURIComponent(photo); 
     var thumbnails = encodeURIComponent(thumbnail); 

     if (window.XMLHttpRequest) {// code for IE7+, Firefox, Chrome, Opera, Safari 
      xmlhttp=new XMLHttpRequest(); 
     } else {// code for IE6, IE5 
      xmlhttp=new ActiveXObject("Microsoft.XMLHTTP"); 
     } 

     xmlhttp.onreadystatechange=function() { 
      if (xmlhttp.readyState==4 && xmlhttp.status==200) { 
       document.getElementById("media").innerHTML=xmlhttp.responseText; 
      } 
     } 
     xmlhttp.open("GET", "http://192.168.2.104/images/users/delete_photo.php?photo_id="+photos+"&thumbnail_id="+thumbnails, true); 
     xmlhttp.send(); 
    } 

Answer 1

Necesita autenticar al usuario de alguna manera.

Su usuario debe estar autenticado con un nombre de usuario y una contraseña.

La sesión de PHP se puede utilizar para recordar, y debe usar una tabla de base de datos o un archivo de texto en el servidor para almacenar la información de propiedad del archivo.

Luego, antes de desvincular todo, su lógica debe asegurarse de que el usuario actualmente "autenticado" sea el propietario del archivo.

Answer 2

Limite la desvinculación al directorio con las fotos. Es decir, no permita .. en la ruta, o verifique la ruta completa después de hacer realpath(). De lo contrario, el usuario puede solicitar delete_photo.php?photo_id=../../../../etc/passwd y romper el sistema.

Answer 3

En su PHP:

• Asegúrese de $ _GET [ 'photo_id'] y $ _GET [ 'thumbnail_id'] no contienen "../"
• También asegúrese de poner un prefijo BasePath a la ID.

De lo contrario, los usuarios pueden eliminar cualquier archivo.

En cuanto a la propiedad, debe almacenar la información a la que pertenece el archivo en algún lado del servidor (por ejemplo, un MySql-DB). Luego debe consultar esta ubicación antes de eliminar el archivo.

Answer 4

Una sugerencia diferente: no almacene archivos en el disco, sino guárdelos en una base de datos. Esto mantiene una distinción muy clara entre su sitio + scripts y "datos de usuario".

(Alguien me dijo una vez que los archivos eran archivos, y las bases de datos eran para datos, y que son diferentes, pero como yo veo, los archivos contienen datos de todos modos. Mysql tiene un tipo LONGBLOB perfecto para poner cualquier cosa, y puedes almacenar metadatos, como tipo de archivo y nombre de archivo, en campos separados en la misma fila de datos, lo que mantiene las cosas limpias y simples)

Answer 5

As Wadih M. ha dicho. Necesita autenticar a su usuario.Entonces puede usar eso para comparar el "Dueño de la Imagen" con el "Usuario actualmente ingrese". Esto le dará toda la seguridad que pueda desear.

Como dije antes, nombre los varaibles para que suenen bien. Cuando veo "id" en un varaiable. Asumo automáticamente como programador que es una var numérica.

Answer 6

puede simplificar su tarea mediante el uso de una sustitución de base de datos muy simple: una estructura de directorios. mantener los archivos del usuario en el directorio del usuario. por lo tanto, siempre puede verificar si un usuario en particular tiene derechos para eliminar. Nombrar un directorio después del nombre del usuario, o - mucho mejor - numérico identificador de usuario

simplemente algo así como

$photo_id = basename($_GET['photo_id'];) 
$filename = $filebase.$_SESSION['user_id']."/".$photo_id; 
if (file_exists($filename) unlink ($filename); 

Answer 7

han tenido el mismo problema, pero he alrededor de ella utilizando la función de PHP ftp_delete