如何仅允许已登录用户通过PHP脚本访问Apache 2.4目录？

API 探路者

2026-7-23

解决方案

当然可行，按以下步骤操作就能实现仅允许登录用户通过PHP脚本访问PDF文件：

1. 修改Apache配置，禁止直接访问文档目录

把你当前的<Directory>配置改成拒绝所有直接访问，彻底阻断用户通过浏览器输入URL打开PDF的路径：

Alias /ourdocs/ "Z:/documents/"
<Directory "Z:/documents">
    Options none
    AllowOverride none
    Require all denied
</Directory>

这里将AllowOverride all改为none，避免.htaccess中的配置覆盖拒绝规则，确保直接访问被完全禁止。

2. 编写带权限验证的PHP脚本

创建一个比如view_pdf.php的脚本，先通过你们系统的登录逻辑验证用户身份，验证通过后再读取并输出PDF文件：

示例代码：

<?php
// 验证用户是否已登录（替换为你们系统的实际登录校验逻辑）
session_start();
if (!isset($_SESSION['valid_institution_user']) || !$_SESSION['valid_institution_user']) {
    http_response_code(403);
    echo "您无权限访问此文档";
    exit;
}

// 安全获取PDF文件名，防止路径遍历攻击
$pdf_filename = basename($_GET['file']);
$pdf_full_path = "Z:/documents/" . $pdf_filename;

// 校验文件合法性
if (!file_exists($pdf_full_path) || pathinfo($pdf_full_path, PATHINFO_EXTENSION) !== 'pdf') {
    http_response_code(404);
    echo "文档不存在";
    exit;
}

// 输出PDF到浏览器
header('Content-Type: application/pdf');
header('Content-Disposition: inline; filename="' . $pdf_filename . '"');
header('Content-Length: ' . filesize($pdf_full_path));
readfile($pdf_full_path);
exit;