ACF用户文件下载权限错误与URL重写方案安全性咨询

一、权限错误快速排查 #

1. 目录与文件权限检查
   确保wp-content/uploads/useruploads及其子目录权限设为755（Web服务器用户可读可执行，其他用户可读），上传文件权限设为644。绝对禁止使用777这类过宽权限，避免未授权访问风险。
2. mod_rewrite与AllowOverride配置
   确认Apache已启用mod_rewrite模块，同时站点虚拟主机配置中，对应目录的AllowOverride需设置为All——否则.htaccess规则不会生效。
3. 路径正确性验证
   你的RewriteRule目标路径中Child%20Theme是URL编码的空格，需确认服务器上实际子主题目录名是否为Child Theme（带空格）。若路径存在识别问题，可尝试改为/wp-content/themes/Child\ Theme/file-access/download.php（转义空格），或直接使用目录真实名称。
4. 路径遍历防护前置检查
   当前规则将(.*)直接传递给file参数，存在路径遍历风险（比如用户构造../otheruser/file.pdf）。在download.php中必须先过滤参数：

   $file = $_GET['file'];
   // 拦截路径遍历字符
   if (strpos($file, '../') !== false || strpos($file, '..\\') !== false) {
       http_response_code(403);
       exit('禁止访问');
   }
   

二、现有方案的安全性补全 #

当前重写方案的思路可行，但缺少核心验证环节，必须补充以下步骤：

• 登录状态验证：在download.php开头加入WordPress登录检查（注意调整wp-load.php的引入路径）：

  require_once('../../../../wp-load.php');
  if (!is_user_logged_in()) {
      http_response_code(401);
      exit('请先登录');
  }
  

• 文件归属验证：解析$file参数中的user_id（或user_nicename+user_id），与当前登录用户的ID/昵称严格对比：

  $current_user = wp_get_current_user();
  // 从路径中提取user_id（假设路径格式为[user_nicename][user_id]/file.pdf）
  preg_match('/.*?(\d+)\/.*/', $file, $matches);
  if (empty($matches[1]) || $matches[1] != $current_user->ID) {
      http_response_code(403);
      exit('无权限访问该文件');
  }
  

• 文件存在性验证：确认文件真实存在后再输出，避免报错泄露信息：

  $file_path = ABSPATH . 'wp-content/uploads/useruploads/' . $file;
  if (!file_exists($file_path) || !is_file($file_path)) {
      http_response_code(404);
      exit('文件不存在');
  }
  

• 直接访问拦截加固：在useruploads目录下创建空白index.php文件，配合已有的Options -Indexes规则，双重防止用户直接访问或遍历文件目录。

三、更优实现方式推荐 #

1. 使用WordPress REST API
   放弃.htaccess重写，自定义REST端点处理下载请求，更贴合WordPress生态，维护更便捷：

   // 在子主题functions.php中注册端点
   add_action('rest_api_init', function () {
       register_rest_route('file-share/v1', '/download/(?P<user_id>\d+)/(?P<filename>.+)', [
           'methods' => 'GET',
           'callback' => 'file_share_download',
           'permission_callback' => function ($request) {
               $current_user = wp_get_current_user();
               return $current_user->ID == $request['user_id'];
           }
       ]);
   });
   
   function file_share_download($request) {
       $user_id = $request['user_id'];
       $filename = $request['filename'];
       $user = get_user_by('id', $user_id);
       $file_path = ABSPATH . "wp-content/uploads/useruploads/{$user->user_nicename}{$user_id}/{$filename}";
       
       if (!file_exists($file_path)) {
           return new WP_Error('file_not_found', '文件不存在', ['status' => 404]);
       }
       
       // 输出文件
       header('Content-Type: application/octet-stream');
       header('Content-Disposition: attachment; filename="' . basename($file_path) . '"');
       readfile($file_path);
       exit;
   }
   

   生成的下载链接类似https://site.nl/wp-json/file-share/v1/download/123/file.pdf，自动处理身份与权限验证。
2. 将文件存储到Web根目录外
   把用户上传的文件存到服务器Web根目录以外的位置（比如/var/www/private_user_uploads/），这样即使.htaccess失效，用户也无法直接访问文件，只能通过后端脚本读取输出，安全性大幅提升。
3. 添加Nonce防CSRF攻击
   在生成下载链接时添加WordPress的nonce参数：

   $nonce = wp_create_nonce('file_download_' . $file_id);
   $download_link = "/wp-content/themes/Child Theme/file-access/download.php?file={$file_path}&nonce={$nonce}";
   

   在download.php中验证nonce：

   if (!wp_verify_nonce($_GET['nonce'], 'file_download_' . $file_id)) {
       http_response_code(403);
       exit('非法请求');
   }
   

内容的提问来源于stack exchange，提问作者tnebrekooy