ダウンロードスクリプトに変数ファイルのパスを追加する方法に関するアドバイス

Question

私はダウンロードPHPスクリプトで作業していますが、ファイルパスは可変です。get（）を使用してファイルのファイルパスを取得できますか？または私は何か他のことをすることができます。 ご協力いただきありがとうございます。

PHPスクリプト -

if (isset($_GET['file']) && basename($_GET['file']) == $_GET['file']) { 
$filename = $_GET['file']; 
} else { 
$filename = NULL; 
} 
$err = '<p>Sorry, the file you are requesting is unavailable.</p>'; 

if (!$filename) { 
// if variable $filename is NULL or false display the message 
echo $err; 
} else { 
// path 
$path = './'.$filename; 
// check that file exists and is readable 
if (file_exists($path) && is_readable($path)) { 
    // get the file size and send the http headers 
    $size = filesize($path); 
    header('Content-Type: application/octet-stream'); 
    header('Content-Length: '.$size); 
    header('Content-Disposition: attachment; filename='.$filename); 
    header('Content-Transfer-Encoding: binary'); 
    // open the file in binary read-only mode 
    // display the error message if file can't be opened 
    $file = @ fopen($path, 'rb'); 
    if ($file) { 
     // stream the file and exit the script when complete 
     fpassthru($file); 
     exit; 
    } else { 
     echo $err; 
    } 
} else { 
    echo $err; 
} 
} 

Answer 1

あなたは、ユーザーが望む任意のファイルのダウンロードを許可してはならないという権利ですが、これは巨大なセキュリティ上のリスクです。これを避ける方法は、利用できるものによっていくつかあります。

• 可能なすべてのダウンロードパスをデータベース（またはファイルまたはPHPスクリプト）に保存します。 URLでは、データベース行のIDのように、ダウンロードするファイルを指定する識別子を使用します。ユーザーがURL http://www.example.com/download.php?id=42を開くと、PHPスクリプトは指定されたIDでデータベースのダウンロードエントリを検索し、データベースに保存されたパスを使用します。この方法で、可能なすべてのダウンロードファイルのホワイトリストが作成されます。
• realpath()を使用して、ユーザーがダウンロードしたいファイルを確認します。次に、パスが許可されたダウンロードディレクトリ内にあるかどうかを確認します。これにより、指定したダウンロードディレクトリ以外の機密ファイルへのアクセスを防止します。