Hallo werte PHP-Gemeinde,
bin seit längerem mal wieder dabei, ein Projekt mit PHP umzusetzen und möchte mich hiermit in die Reihe der Fragesteller, die nachgrübeln, wie sie Dateien von unautorisiertem Zugriff durch nichtangemeldte Benutzer schützen können, einreihen.
Ich habe mittlerweile recht viele Beiträge gelesen aber wohl nicht die richtigen Stichwörter benutzt und viel Halbgares gefunden.
Zur Aufgabe:
Auf unserer Web Plattform existieren Benutzer, die verschiedenen Rollen angehören können. Je nach Rolle soll eine Webseite x der Plattform mit allen dazugehörigen Bilddaten und Videos, mit einem Teil der Bilddaten und Videos oder gänzlich ohne Bilddaten und Videos angezeigt werden. Auch per Direktlink auf eine Ressource muss sichergestellt sein, dass ein Benutzer nicht mehr zu sehen bekommt, als seine Rolle hergibt.
Lösungsansatz?
Der Ansatz den ich aus dem bisher gelesenen konstruiert habe ist folgender:
- Sensible Dateien werden in ein Verzeichnis ausserhalb der Webroot abgelegt.
Damit hört es auch schon auf, wie geht es nun weiter? Müsste ich das Verzeichnis je nach Authentifizierungsresultat dynamisch in die Webroot einbinden? Ich möchte vermeiden, die Dateien irgendwie durch den PHP Thread zu schaufeln. Gibt es Webserver, die per durch PHP übergebenen Schalter oder so etwas dynamisch ein virtuelles Verzeichnis mit den zur Rolle passenden Dateien befüllt im Webroot präsentieren?
Wie habt ihr die Zugriffskontrolle gelöst? Könnt ihr weiterführende Links empfehlen?
Vielen Dank,
Bergtroll
bin seit längerem mal wieder dabei, ein Projekt mit PHP umzusetzen und möchte mich hiermit in die Reihe der Fragesteller, die nachgrübeln, wie sie Dateien von unautorisiertem Zugriff durch nichtangemeldte Benutzer schützen können, einreihen.
Ich habe mittlerweile recht viele Beiträge gelesen aber wohl nicht die richtigen Stichwörter benutzt und viel Halbgares gefunden.
Zur Aufgabe:
Auf unserer Web Plattform existieren Benutzer, die verschiedenen Rollen angehören können. Je nach Rolle soll eine Webseite x der Plattform mit allen dazugehörigen Bilddaten und Videos, mit einem Teil der Bilddaten und Videos oder gänzlich ohne Bilddaten und Videos angezeigt werden. Auch per Direktlink auf eine Ressource muss sichergestellt sein, dass ein Benutzer nicht mehr zu sehen bekommt, als seine Rolle hergibt.
Lösungsansatz?
Der Ansatz den ich aus dem bisher gelesenen konstruiert habe ist folgender:
- Sensible Dateien werden in ein Verzeichnis ausserhalb der Webroot abgelegt.
Damit hört es auch schon auf, wie geht es nun weiter? Müsste ich das Verzeichnis je nach Authentifizierungsresultat dynamisch in die Webroot einbinden? Ich möchte vermeiden, die Dateien irgendwie durch den PHP Thread zu schaufeln. Gibt es Webserver, die per durch PHP übergebenen Schalter oder so etwas dynamisch ein virtuelles Verzeichnis mit den zur Rolle passenden Dateien befüllt im Webroot präsentieren?
Wie habt ihr die Zugriffskontrolle gelöst? Könnt ihr weiterführende Links empfehlen?
Vielen Dank,
Bergtroll
Kommentar