htacces-Schutz vor nicht phpBB-Usern

[Faser]

Hallo ihr Coder !!

Eine Idee wäre ein Verzeichnis-Schutz für alle nicht-phpBB-User. Also dass man als phpBB User mit htaccess Zugriffsrechte hat und Username und Password eingeben kann und ansonsten halt nicht rein kommt...

Sinnvoll wäre das beispielsweise für Upload-Manager: Wenn man nicht registriert ist, kann man keine Dateien herunterladen. Ein einfacher Schutz in der php-Datei wäre ja sinnlos.

Vielen Dank schon mal im Voraus!!
Faser

PS: Falls ich das etwas undurchschaubar erklärt habe, ich erklär's gerne nochmal

[itst]

Da wäre zunächst mal die Frage zu klären, ob man das zusätzlich oder ausschließlich haben will. Denn wenn man das zusätzlich macht, müssen sich die User zweimal authentisieren.

[sica]

Wenn moeglich wuerde ich die Dateien einfach ausserhalb des Document Roots ablegen und ueber ein Script an den User verschicken, in diesem Script kannst du ja die phpBB Session abfragen und gegebenfalls auf die Login Seite umleiten, also garnichts mit .htaccess machen... ist ja dann auch nicht noetig, man kann ja sowieso nicht direkt auf die Datei zugreifen.

Das Versenden der Datei passiert dann in etwa so:

Code: Alles auswählen

header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="'.$save_name.'"');
readfile($file); 

[Pyramide]

die Dateien einfach ausserhalb des Document Roots ablegen

Oder, da man das bei den meisten Hostern nicht kann, einfach eine .htaccess mit anlegen/in eine bestehende einfügen:

Code: Alles auswählen

Oder Deny, Allow
Deny From All

[Faser]

Hmm, es geht darum, dass es einen Ordner gibt, in dem registrierte User browsen und downloaden können (nach Eingabe der Passwörter)

Dazu muss man eine htacces-Password-Username-Datei anlegen (oder wie heißt die?? ) - also dort stehen Benutzernamen und deren Passwörter.

Damit ich jetzt aber nicht jedesmal, wenn sich ein neuer User registriert, diese Datei updaten muss (was aufgrund verschlüsselter Passwörter sowieso nicht ginge), würde ich diesen Vorgang gerne automatisieren...

[Jensemann]

Wenn dein Hoster PHP als Modul eingebunden hat, kannst du HTTP AUTH auch ohne .htaccess erreichen:

http://www.php.net/manual/en/features.http-auth.php

Du fragst dann einfach die phpBB Tabelle ab und gleichst die User Supplied Credentials dagegen ab.

Nur für den Fall:

Komm nicht auf die Idee das phpBB Auth System dagegen auzutauschen. ich hab es versucht, 3 Monate dran gehackt, vergiss eine solche Idee einfach, du stösst an allen möglichen ecken auf Probleme.

Jens