使用这样的随机字符构造的URL是否被认为是“安全的”?
http://example.com/EU3uc654/Photos
我想把一些文件/图片画廊放在一个只能被一小群用户访问的networking服务器上。 我主要关心的是文件不应该被search引擎或者在我的网站上徘徊的好奇的高级用户所接受。
我build立了一个.htaccess文件,只是为了注意,点击http://user:pass@url/
links对一些浏览器/电子邮件客户端不起作用,提示对话框和警告消息,使我不知道计算机用户。
无论是否“好”取决于图像的敏感程度。
如果您不使用SSL,则URL,HTML和图像本身将caching在用户的计算机上。 这可能会泄漏,但我认为这不太可能。
浏览器工具栏,特别是由运行爬虫的公司制作的浏览器工具栏,如Alexa和Netcraft,可以将访问过的URL返回到其父站点,以备机器人稍后爬行。
正确的身份validation(如HTTP身份validation或POSTvariables)不应该以这种方式进行caching或者报告给任何父网站。
另一种技术是使用独特和短暂的URL。 那样,即使他们泄漏,也没什么关系。 当然,你必须不断更新你的合法用户的新url。
不,不是,这只是安全而已 ,根本就不安全。 任何可以从互联网上直接访问的东西,如果没有某种forms的真正的保护,将被发现,索引和caching。
他们将一路login每个代理。 除非有人真的发布了这个链接,否则你会从好奇的高级用户和search引擎中安然无恙。
当然要小心发电机的随机性。
我猜你没有在这里寻找超高的安全性。
一个神秘的URL是一次性下载的方便,但没有提供真正的保护。 你需要知道,并不是所有的机器人都会遵守robots.txt文件,所以如果你的网站有任何链接导致伪装的文件夹, 它将被一些search引擎索引,一旦启动就不会回头。
我build议使用一个简单的基于.htaccess的authentication系统,或者除了你所提出的。
我想添加另一个,也许更可怕的angular度来看这个例子混淆url。 即使您的url没有被意外共享,也可以通过以下方式提交给search引擎:
因人而异。
在过去,我使用了类似的方法来允许用户在文档pipe理系统上创build共享空间。 共享的内容不是绝密的,所以系统不需要超安全。
我只是让每个用户的URL包含一个到期时间戳和他们的电子邮件的MD5。
所以这个URL看起来像:
http://my-url.com/1343689677-cba1f2d695a5ca39ee6f343297a761a4/
与上面一样,如果用户在7月30日之前input了email [email protected],那么他们将会很好。
不完全是军事级别的安全,但做了这项工作。
这与在URL中存储sessionID共享相同的漏洞。 有人可能会意外地将链接复制粘贴到其他人,忘记审查截图,或让别人查看它,因为它不像密码那样星号。
另外,如果某些内容受密码保护,则通过login您知道这是一个秘密。 如果你得到一个链接,你可以easilly忘记它。
另一件事是删除用户权限。 你可以删除一个用户,所以他不能再login,但是用链接你需要全部改变它们,并且发送每个人(除了被删除的用户)新的URL。
如果这些只是图像,我认为这并不坏。 但是,如果这些图片是真的,真的不喜欢分享的话)那么我build议你使用更长的随机单词,更像是一个dave e提出的。
编辑:将?DO_NOT_SHARE_THIS_LINK添加到url: http : //example.com/DO_NOT_SHARE_THIS_LINK/EU3uc654-这个应用程序可以更长时间/照片?DO_NOT_SHARE_THIS_LINK
这就是Kongregate在embedded其他地方托pipe的游戏时所做的事情(它把auth凭证放在框架的url中)。 顺便说一句,Kongregate也使用客人访问链接未发布的游戏,只是你想使用的方式。