允许 PHP 脚本访问文件夹中的 PDF - 但阻止直接 URL 引用

在使用 CPanel 的 godaddy 托管网站上，我有一个小型 PHP 脚本，用于显示服务器上文本文件中的每一行。每行都包含一个指向 PDF 的私有 href 链接，只有登录用户才能看到。这些链接指向服务器上同一文件夹中的各种 PDF。该代码运行良好，我可以单击链接并查看每个 PDF。

问题是每个 PDF 也可以通过使用直接 URL 查询（即 website/folder/pdfname.pdf）来查看。由于这些是私人 PDF，我不希望它们公开。我尝试将文件夹的 CPanel 权限更改为“所有者” - 但这似乎也阻止了 PHP 脚本打开 PDF。

有没有办法允许 PHP 脚本访问文件夹中的 PDF - 但阻止直接 URL 引用？

注意：我不太擅长 PHP 或 CPanel - 抱歉。

Code...

$fname = "PDF-" . $user_name.".txt";
$fnum = fopen($fname,"r");
echo "<tr>";
While (($str = fgets($fnum)) !==  false) {
    $arr = explode("|",$str);   
    for ($x  = 0 ;  $x < count($arr);  $x++) {
        echo "<td>$arr[$x]</td>";
    }
    echo "</tr>";   
}
echo "</tr>";
fclose($fnum);

文件内容...

Xyz Company|21 Jan 2018|<a href="http://website.com"> website link</a>
Xyz Company|21 Jan 2018|<a href="http://website.com"> website link</a>
Xyz Company|21 Jan 2018|<a href="http://website.com"> website link</a>
Xyz Company|21 Jan 2018|<a href="http://website.com"> website link</a>*

除了从根目录删除文件之外，如果您正在运行 apache，您还可以更改.htaccess （我确信基于 Windows 的系统有一个web.config相等的）禁止直接访问某些文件。如果您将此代码片段添加到该文件中，它将拒绝带有以下内容的文件.pdf扩大：

<FilesMatch "\.(pdf)$">
Order Allow,Deny
Deny from all
</FilesMatch>

从那里，在您的应用程序内部，您可以创建某种系统来管理 PDF 链接，因此，如果您将真实路径存储在数据库中并使用 id 作为链接，类似于：

http://www.example.com/?file=1

或者如果您只是进行简单的扫描：

<?php
# The folder that the PDFs are in
$dir = __DIR__.'/website/folder/';
# Loop over a scan of the directory (you can also use glob() here)
foreach(scandir($dir) as $file):
    # If file, create a link
    if(is_file($dir.$file)): ?>
<a href="?action=download&file=<?php echo $file ?>"><?php echo $file ?></a>
<?php
    endif;
endforeach;

然后，如果用户尝试使用链接下载，您将检查他们是否首先登录，如果是，则在将其他任何内容输出到浏览器之前，通过执行如下脚本来下载文件（包括空格）:

<?php
session_start();
# First check that the user is logged in
if(empty($_SESSION['username']))
    die('You must be logged in to download this document.');
# Not sure which directory you are currently in, so I will assume root
# I would do basename() here incase the user tries to add in something like:
# ../index.php and tries to download files they are not supposed to
$file = __DIR__.'/website/folder/'.basename($_GET['file']);
if(!is_file($file))
    die('File does not exist.');
# Double check that the file is a pdf
elseif(strtolower(pathinfo($file, PATHINFO_EXTENSION)) != 'pdf')
    die('File appears to be invalid.');
# Start download headers
header('Content-Description: File Transfer');
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="'.basename($file).'"');
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($file));
readfile($file);
exit;