[pulce]

Hallo ihr lieben,
hab wenig Erfahrung mit PHP und tu mich oft sehr schwer vieles nach zu vollziehen.
Such schon lange nach einem passenden Script für Downloads. Jetzt hab ich die Seite http://www.developers-guide.net/forums/687,php-download-skript-downloads-mit-download-php-id-x von Corvin entdeckt und wollte mir ein super Script nach seinen Anweisungen zusammen bauen, jedoch bekomm ich beim Testen vom Script immer einen Fehler!
Wenn die Richtige ID angegeben ist funktioniert der Download (download.php?id=x) perfekt, jedoch wenn ich eine falsche ID angebe oder von einer fremden Domain darauf linke, sollte der Script einen Fehlerhinweis ausgeben. Stattdessen bietet mir dieser aber die PHP-Datei zum Download an, in dieser dann steht z.B. Fehler in Line 46.
Es hat irgendetwas mit dem testen von erlaubten und geblockten Seiten zu tun. Kann mir da jemand weiterhelfen?

Danke schon mal im voraus…

Problem wurde gelöst, Danke an alle die geholfen haben !!
Hier noch der vollständige und funktionierende Script für alle die das gleiche Problem haben, hatten oder haben werden!

PHP-Code:

<?php 

  error_reporting(E_ALL); 

  function test_banned($sites, $referer) 
  { 
    for($i=1;$i<count($sites);$i++) 
    { 
      if($sites[$i] == $referer) 
      { 
        return true; 
      } 
    } 
  } 

  /* Der Ordner indem sich die Dateien befinden */ 
  $download_dir = "files/"; 

  /* Die herunterladbaren Dateien (Anzahl beliebig viel:( */ 
  $files = array(
      "deine Wunsch ID" => "der Dateiname",  /* diese Angaben entsprechend ändern */
                    ); 

  // prüfen, ob eine ID angegeben wurde 
  if(!isset($_GET['id'])) 
  { 
    exit('keine ID angegeben'); 
  } 

  if(!in_array($_GET['id'], $files)) 
  { 
    exit('falsche ID angegeben'); 
  } 

  /* Eingetragene kommende Domains (von welche aus verlinkt wurden!) haben eine Downloadberechtigung */ 
  $sites = array(
                      "allowed", 
                    "http://www.deine-domain.de"); /* hier deine Domain eintragen */

  /* Den kompletten Pfad der Datei (+Dateiname) in $file speichern */ 
  $file = $download_dir.$files[$_GET['id']]; 

  /* Prüfen, ob die Datei, die heruntergeladen werden soll existiert/erreichbar ist */ 
  if(!file_exists($file)) 
  { 
    echo "Die von Ihnen gew&auml;hlte Datei existiert nicht bzw. ist nicht erreichbar!!"; 
    exit(); 
  } 

  $referer = "http://www.deine-Domain.de"; // deine Domain nochmal eintragen! 
  if(isset($_SERVER['HTTP_REFERER'])) 
  { 
    $referer = explode("/", $_SERVER['HTTP_REFERER']); 
    $referer = $referer[0] ."//" .$referer[2]; 
  } 


  if ($sites[0] == "banned") 
  { 
    $test = test_banned($sites, $referer); 
    if ($test == true) 
    { 
      echo "Referer nicht zugelassen!!"; 
      exit(); 
    } 
  } 
  elseif ($sites[0] == "allowed") 
  { 
    $test = test_banned($sites, $referer); 
    if ($test != true) 
    { 
      echo "Referer nicht zugelassen!!"; 
      exit(); 
    } 
  } 
  else 
  { 
    exit("Fehler in \$sites!!"); 
  } 

  /* Header-Einstellungen */ 
  header("Content-Type: x-type/subtype"); /* Hiermit wird der passende Dateityp erzeugt */ 
  header("Content-Length: ".filesize($file)); /* Hiermit wird die Dateigröße (in Byte) angegeben */ 
  header("Content-Disposition: attachment; filename=".$files[$_GET['id']]); /* Hiermit wird der Browser gezwungen, das "Speichern-Unter-Fenster" anzuzeigen */ 

  readfile($file); 


/* PHP-Script-Ende */
?>

[Jann Hendrik]

Kannst du einen link geben zu deinem Beispiel, das man sich das mal direkt anschauen kann?
Ich habe den Code noch nicht näher angeschaut - ist der direkt so aus dem Tutorial, oder schon an relevanten Stellen geändert?

[pulce]

Danke für deine Hilfe, ich teste die Datei derzeit auf dem Server von meiner Arbeit.
Die Adresse zu diesem Script lautet http://www.wzw.tum.de/bk/test/download.php
ein Unterverzeichnis heißt "files/" in der sich z.B. eine PDF datei befindet "wzw_lageplan.pdf".
Diese Datei kannst du ohne Probleme mit eingabe von
http://www.wzw.tum.de/bk/test/downlo...w_lageplan.pdf
runterladen, jedoch sollte das Script bei einer falschen bzw. bei keiner ID Angabe eine Fehlermeldung ausgeben, was es nicht tut
Wenn das Script über eine andere Domain benutzt/verlinkt sollte auch eine Fehlermeldung kommen. Kannst du mir weiterhelfen?
Danke

[Jann Hendrik]

Ich denke, dass ich weiß, was du meinst - ich muss mir aber erstmal das Tutorial durchlesen

Komme ich heute nicht mehr dazu - morgen gibt es mehr.

[Xean]

der "fehler" ist ganz einfach. Bis jetzt gehst du hin, schreibst die header und ließt die datei ein, dann schaust du, ob du das überhaupt darfst...
Wenn ich den Code richtig verstanden habe, müsste alles was mach readfile($file); kommt, oben drüber.

Ich hoffe, das hilft.
MfG
Xean

[pulce]

Danke für den Tipp Xean, jetzt bin ich schon einen Schritt weiter. Leider war das noch nicht die Lösung, denn jetzt zeigt mir der Script immer, egal wie ich ihn aufrufe, den Satz von "file_exists($file)" an
(= Die von Ihnen gewählte Datei existiert nicht bzw. ist nicht erreichbar !!)

[Jann Hendrik]

Genau - du hast beim Lesen des Tutorials nicht ganz aufgepasst. Da steht an einigen Stellen drüber, dass die Ergänzungen an bestimmte Stellen müssen. Sonst geht es nicht.

Aber darüber hinaus ist noch ein paar kleinere Fehler in dem Tutorial selbst, bzw. Stellen, die nicht ganz sauber sind.


Was noch fehlt ist eine Überprüfung, ob der Inhalt von $_GET['id'] auch in deinem array vorkommt...

PHP-Code:

<?php
  error_reporting(E_ALL);

  function test_banned($sites, $referer)
  {
    for($i=1;$i<count($sites);$i++)
    {
      if($sites[$i] == $referer)
      {
        return true;
      }
    }
  }

  /* Der Ordner indem sich die Dateien befinden */
  $download_dir = "files/";

  /* Die herunterladbaren Dateien (Anzahl beliebig viel:( */
  $files = array("wzw_lageplan.pdf" => "wzw_lageplan.pdf",
                 "002" => "text.txt",
                 "003" => "doc.pdf",
                 "004" => "bild3.jpg");

  // prüfen, ob eine ID angegeben wurde
  if(!isset($_GET['id']))
  {
    exit('keine ID angegeben');
  }

#  if(!in_array($_GET['id'], $files))
#  {
#    exit('falsche ID angegeben');
#  }

  /* Eingetragene kommende Domains (von welche aus verlinkt wurden!) haben eine Downloadberechtigung */
  $sites = array("allowed",
                 "http://www.wzw.tum.de");

  /* Den kompletten Pfad der Datei (+Dateiname) in $file speichern */
  $file = $download_dir.$files[$_GET['id']];

  /* Prüfen, ob die Datei, die heruntergeladen werden soll existiert/erreichbar ist */
  if(!file_exists($file))
  {
    echo "Die von Ihnen gew&auml;hlte Datei existiert nicht bzw. ist nicht erreichbar!!";
    exit();
  }

  $referer = "http://www.wzw.tum.de"; // hattest du ja als Domain angegeben.
  if(isset($_SERVER['HTTP_REFERER']))
  {
    $referer = explode("/", $_SERVER['HTTP_REFERER']);
    $referer = $referer[0] ."//" .$referer[2];
  }


  if ($sites[0] == "banned")
  {
    $test = test_banned($sites, $referer);
    if ($test == true)
    {
      echo "Referer nicht zugelassen!!";
      exit();
    }
  }
  elseif ($sites[0] == "allowed")
  {
    $test = test_banned($sites, $referer);
    if ($test != true)
    {
      echo "Referer nicht zugelassen!!";
      exit();
    }
  }
  else
  {
    exit("Fehler in \$sites!!");
  }

  /* Header-Einstellungen */
  header("Content-Type: x-type/subtype"); /* Hiermit wird der passende Dateityp erzeugt */
  header("Content-Length: ".filesize($file)); /* Hiermit wird die Dateigröße (in Byte) angegeben */
  header("Content-Disposition: attachment; filename=".$files[$_GET['id']]); /* Hiermit wird der Browser gezwungen, das "Speichern-Unter-Fenster" anzuzeigen */

  readfile($file);

  /* Prüfen, ob die Datei, die heruntergeladen werden soll existiert/erreichbar ist */
  if(!file_exists($file))
  {
    echo "Die von Ihnen gew&auml;hlte Datei existiert nicht bzw. ist nicht erreichbar!!";
    exit();
  }

  /* Downloadabfrage - ob Nutzer von erlaubter Seite kommt!  Erlaubte seiten siehe oben bei $sites */
  $referer = explode("/", $_SERVER['HTTP_REFERER']);
  $referer = $referer[0] ."//" .$referer[2];
  if ($sites[0] == "banned")
  {
    $test = test_banned($sites, $referer);
    if ($test == true)
    {
      echo "Referer nicht zugelassen!!";
      exit();
    }
  }
  elseif ($sites[0] == "allowed")
  {
    $test = test_banned($sites, $referer);
    if ($test != true)
    {
      echo "Referer nicht zugelassen!!";
      exit();
    }
  }
  else
  {
    exit("Fehler in \$sites!!");
  }

  /* PHP-Script-Ende */
?>

Den Teil habe ich mal auskommentiert, weil der bei mir gerade nicht funktioniert...

[pulce]

Ihr seit perfekt, leider kommt da noch ein kleiner Fehler
Wenn ich gar keine ID angebe, passt die Meldung,
bei richtiger ID bekomm ich den Dowonload zum Angebot,
aber bei falscher ID sollte er mir auch ne Fehlermeldung bringen.
Da bekomm ich jedoch folgendes zu sehen:

Notice: Undefined index: wzw in /media/data1/app/www/bk/test/index.php on line 43

Warning: Cannot modify header information - headers already sent by (output started at /media/data1/app/www/bk/test/index.php:43) in /media/data1/app/www/bk/test/index.php on line 84

Warning: Cannot modify header information - headers already sent by (output started at /media/data1/app/www/bk/test/index.php:43) in /media/data1/app/www/bk/test/index.php on line 85

Notice: Undefined index: wzw in /media/data1/app/www/bk/test/index.php on line 86

Warning: Cannot modify header information - headers already sent by (output started at /media/data1/app/www/bk/test/index.php:43) in /media/data1/app/www/bk/test/index.php on line 86
test

An was liegt das?

[Jann Hendrik]

Das liegt daran:

Zitat von Jann Hendrik

Was noch fehlt ist eine Überprüfung, ob der Inhalt von $_GET['id'] auch in deinem array vorkommt...
[...]
Den Teil habe ich mal auskommentiert, weil der bei mir gerade nicht funktioniert...

[pulce]

Darauf hät ich auch selbst kommen können
Herzlichen Dank, Script funktioniert und hat alle meine Tests bestanden *freu*
Bedanke mich ganz herzlich !!

[Jann Hendrik]

Eine Bitte für die Zukunft: bitte nicht die oberen postings verändern, wenn sie weiter unten folgende darauf beziehen. Wenn man das nämlich nun liest, dann versteht man ggf. einiges aus dem thread nicht!

[pulce]

Jetzt hät ich doch vielleicht noch ne kleine Frage, wenn ihr schon so gute Profis seit.
Wenn ich jetzt aber 2 oder 3 Domains habe, die über diesen Script laufen...
was muss ich dann angeben bei der Zeile

$referer = "http://www.wzw.tum.de"; // hattest du ja als Domain angegeben.

?
Die andere Zeile "allowed" ist mir klar, ein Komma und zweite URL.

[pulce]

Zitat von Jann Hendrik

Eine Bitte für die Zukunft: bitte nicht die oberen postings verändern, wenn sie weiter unten folgende darauf beziehen. Wenn man das nämlich nun liest, dann versteht man ggf. einiges aus dem thread nicht!

OK, danke für den Tipp!
Werd ich ändern, bzw. mich bessern

[Jann Hendrik]

Zitat von pulce

Wenn ich jetzt aber 2 oder 3 Domains habe, die über diesen Script laufen...

und genau da ist ein Fehler im Ansatz des Tutorials.

Das Tutorial geht davon aus, dass bei jedem Aufruf ein refferer gesendet wird, der überprüft werden kann.
Genau das ist aber nicht richtig.
http://www.php-faq.de/q/q-http-referer.html

Ergo musst du die ganze Referer-Überprüfung in echt rausnehmen. Man kann sich eh nicht drauf verlassen, denn die Angabe kann auch gefälscht sein.

// edit:
für dich interessant:
http://www.php-faq.de/q/q-http-referer-nutzen.html

[pulce]

Zitat von Jann Hendrik

und genau da ist ein Fehler im Ansatz des Tutorials.

Das Tutorial geht davon aus, dass bei jedem Aufruf ein refferer gesendet wird, der überprüft werden kann.
Genau das ist aber nicht richtig.
http://www.php-faq.de/q/q-http-referer.html

Ergo musst du die ganze Referer-Überprüfung in echt rausnehmen. Man kann sich eh nicht drauf verlassen, denn die Angabe kann auch gefälscht sein.

// edit:
für dich interessant:
http://www.php-faq.de/q/q-http-referer-nutzen.html

Was heißt das jetzt auf deutsch für mich ??
Ist das Script sicherheitsrelevant und kann jemand dadurch das Download-Script aufrufen obwohl er nicht von dieser Domain stammt, oder funktioniert ggf. das Script gar nicht obwohl jemand legal den Link aus meiner Homepage verwendet (nur weil er z.B. über einen Uni-Proxy kommt) ??

Mir gehts nicht direkt um 100%ige Sicherheit,
schlimmer wär wenn es gar nicht geht.
- Das kommt ich aus dem text von deinen Links leider nicht rauslesen

[Jann Hendrik]

Das heißt konkret, dass der Ansatz über referer zu filtern in der Praxis nichts bringt.