nginx apache jsp php静态资源如何进行权限控制下载

静态资源如何进行权限控制下载，很简单的方法就是用动态语言先验证权限然后进行文件读取发送，但是效率很低很低，不推荐

今天我们要说的是apache与nginx内置的一套文件发送方式，结合动态语言进行权限控制，也不暴露静态文件的真实地址，今天我们就来试试看

1、Nginx 利用 X-Accel-Redirect response.setHeader 控制文件下载

location / {
            proxy_redirect off;
            proxy_set_header Host  $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://backend;            
        }

location /file/ {
            internal;
            alias /usr/local/;
        }

设置成 "internal" 属性是用来禁止浏览器直接访问的,只信任后台返回的 "X-Accel-Redirect"。

先看java中怎么用 getDownFile.jsp

<%
    String filename = request.getParameter("filename");//此处可以验证权限
    response.setHeader("Content-Disposition", "attachment;filename="+filename);
    response.setHeader("Content-Type", "application/octet-stream");
    response.setHeader("X-Accel-Redirect", "/file/"+filename);
%>

http://10.10.3.205/test/getDownFile.jsp?filename=5.zip

请求到nginx后会发给Tomcat，先判断是否可以下载，若可以下载设置X-Accel-Redirect回给nginx，nginx重新定位到物理文件进行下载。

那么php中也差不多

<?php
$filename = $_GET['filename']; //此处可以验证权限
header("Content-Disposition: attachment; filename= '{$filename}'");
header("Content-Type: application/octet-stream");
header('X-Accel-Redirect: /file/'.{$filename}); 
header("X-Accel-Buffering: yes");
header("X-Accel-Limit-Rate :102400"); //速度限制 Byte/s
?>

好了，nginx就说到这，那么apache怎么弄呢

首先加载mod_xsendfile。将文件 mod_xsendfile.so 移动到 apache/modules 目录下，将以下内容添加到httpd.conf中

LoadModule xsendfile_module modules/mod_xsendfile.so
XSendFile On
XSendFileAllowAbove On

那么php中应该这么写

<?php
$filename = $_GET['filename'];
//验证权限
header("Content-Disposition: attachment; filename= '{$filename}'");
header("Content-Type: application/octet-stream");
header("X-Sendfile:(目标文件真实路径，使用绝对路径，例如/data/usr/test.rar，此路径可以是web无法访问的目录')");
?>

jsp中这么写

<%
    String filename = request.getParameter("filename");//此处可以验证权限
    response.setHeader("Content-Disposition", "attachment;filename="+filename);
    response.setHeader("Content-Type", "application/octet-stream");
    response.setHeader("X-Sendfile:(目标文件真实路径，使用绝对路径，例如/data/usr/test.rar，此路径可以是web无法访问的目录')");
%>

实际中我们可以采用这种方案

1、把所有的目标文件都存储在服务器B，此服务器不需要数据库，而且通过web只能访问到某入口文件（比如http://exampleB/getfile.php），在这个文件中配合apache实现X-Sendfile；
2、 网站文件（php和html），以及数据库运行在服务器A（当然数据库也可以另设服务器），此服务器负责构造类似于http://exampleA/getfile.php?i=573624740728082&s=4fc2353ca769a0ebd9237b6f98791679 的url；
3、服务器B接到以上URL以后，分析客户端IP，然后远程连接服务器A的数据库，把uid，sid，文件id，客户端IP进行匹配分析，通过则扣除积分放行下载，否则提示错误。