如何正确加载和 HTML 嵌入受密码保护的文件？

Question

我有一个受 Apache 密码保护的目录，其中包含文本文件和电影文件。目前，我使用 cURL 加载文本文件的内容，并使用 CURLOPT_USERPWD 传递用户名和密码信息。对于电影，我将 OBJECT 和 EMBED src 设置为 http://username: [电子邮件受保护]/file.mov。在这两种情况下，用户名和密码都是从$_SERVER['PHP_AUTH_USER']和$_SERVER['PHP_AUTH_PW']中提取的分别。如果这不起作用，则会提示用户通过通用 HTTP 身份验证弹出窗口提供新凭据。

有更合适的方法来做到这一点吗？或者嵌入受密码保护的电影只是一个错误/坏主意？

上述方法会导致两个（相关的？）问题。首先，（据我所知）随机地，嵌入电影时似乎没有传递用户名：密码@部分，因此用户被迫再次输入其凭据。这种情况很少发生，而且很烦人，但解决起来会很好。

其次，这会导致 Snow Leopard 下的 Safari 崩溃。 Safari 毫无疑问会提示用户输入凭据，然后冻结。不受密码保护的电影（或将受密码保护的电影移动到不受密码保护的目录）可以正常加载。这个问题在 Snow Leopard 之前并不存在，但我还没有在 Snow Leopard 下的旧版本 Safari 上测试过它，所以它可能是最近的更新之一打破了它。

注意： 遗憾的是，由于使用这些文件的其他程序需要 Apache 密码保护，因此无法迁移到另一个登录系统（从而消除该问题）。

Answer 1

您的连接是否安全？否则看起来好像用户名/密码容易被窥探？

我倾向于使用服务器端脚本（例如 serve_content.php）来管理受保护内容的服务。并链接到它，如下所示：

src="serve_content.php?id=1234"

serve_content.php 检查用户是否已登录。根据传递的 id 识别文件（它掩盖了受保护内容的真实位置），因此“1234”可能是“我的电影.avi”。并将文件发送给客户端。例如。使用 readfile() 以及适当的标头。

Apache 受密码保护的目录可防止未经授权的直接访问。如果您通过其他方法登录用户，则任何用户都无法直接访问该文件，只能通过 serve_content.php 访问。