Kako omejiti dostop do URL-ja datoteke z geslom

Imam eno vprašanje glede PHP. Recimo da ima spletno stran, kjer imam gor neke datoteke v PDF in JPG obliki (lahko tudi kaj drugega, recimo ZIP).

Dostop do spletne strani bi rad omejil z geslom - to ni problem narediti. Problem je pa v tem, da so na spletni strani potem linki, za katere si lahko obiskovalec zapomni kompleten URL.

Se pravi če nekdo dobi geslo, lahko pogleda katere datoteke so gor in potem naprej razpošlje direktne URLje do PDFjev.

Kako se temu izogniti, se pravi, kako narediti neko skriptico, ki bi pogledala ali ima uporabnik veljaven žeton (se pravi je prišel gor z geslom) in mu potem posredovala datoeko oz. če ne, izpisal anapako.

Tole recimo ni OK: namesto, da kličem dokument.pdf, kličem geslo.php?dokument.pdf in če geslo ni OK, izpiše obvestilo, če pa je, pa pošlje datoteko, vendar uporabnik tukaj spet vidi URL do datoteke.

V bistvu to ni čisto prava rešitev, ker bi želel imeti one-time gesla.. se pravi nekomu dam geslo, on vstopi enkrat, naslednjič (ko zapre sejo) pa ne more več dostopati.

Gre za to, da bi rad za nekatere omejil dostop časovno - da nimajo z enim geslom večkratnega dostopa.

Kar je napisal McAjvar je najboljša rešitev. Datoteke umaknit iz htdocs direktorija web strežnika, tako da tudi z ugibanjem obiskovalec ne more do datotek, ker jih preprosto ni v direktoriju, ki ga server nudi obiskovalcem (security by obscurity sucks). Poskrbet moraš le, da jih Php z readfile() ukazom vidi.
Potem pa rabiš še bazo, v kateri hraniš informacije o datotekah in potrebne passworde. Če so ti one-time ali večkratni je itak samo stvar implementacije...

<?php

// do semle ga lahko serjes po mili volji, login/user-verifikacija/doziranje klistirja, etc :)
// od koder pac zelis privleces ime fajla, jaz imam to navadno v bazi
// to je samo povsem osnovni promer, kjer se niti ne ukvarjam z nestandardnimi znaki v imenu, ce fajla ni, ...
// tu samo predpostavljam, da fajl obstaja
	
	$File = $row["doc_file"]; // npr /pot/do/neke/datoteke.pdf
	$Name = basename ($File);
	$Size = filesize ($File);

	header ('Pragma: public');
	header ('Cache-Control: must-revalidate, post-check=0, pre-check=0');
	header ('Content-Type: application/save');
	header ('Content-Disposition: attachment; filename="'.$Name.'"');
	header ('Content-Length: '.$Size);
	readfile ($File); 
	
	// koncaj izvajanje
	exit;

?>

tale nabor headerjev po mojih izkusnjah dela. mogoce komu kaj ne bo vsec, samo tole mi je delalo z explorerjem, ff, opero, preko http in https. in s temle tudi npr. dosezes, da tudi imperial exploder shrani pdf datoteke in jih ne gre odpirat.
to ti lahko sluzi kot primer, pred tem kosom kode pa naredi, kar zelis, preveri, kar rabis, da se odlocis, ali naj uporabnik lahko downloada datoteko ali ne.

v osnovi je to to, ce pa rabis se kak nasvet glede tega, se kak primer --> zs.