PHP（Laravel框架）项目如何在服务器安全存储用户私有文件夹

现有设计评估 #

你目前给用户存储路径前置32位随机字符串的设计是合理的，属于路径混淆的安全增强手段，能够防范攻击者通过路径遍历、暴力猜解获取用户文件路径的风险，但注意这只能作为安全补充，不能替代权限校验逻辑。

现有设计可优化的点：

• 不要直接将username明文放入存储路径，避免用户名泄露后缩小攻击者的猜解范围，可改用用户ID的哈希值或者直接关联32位随机串和用户ID的映射关系存储到数据库，路径只保留/[32位随机串]/[自定义路径]的结构即可
• 所有用户文件的根存储目录不要放在Web服务的公开根目录下，建议放到项目的storage/app目录下（Laravel默认非公开可访问的存储目录），避免绕过PHP逻辑直接通过HTTP请求访问文件
• 数据库中存储路径时，建议和用户ID做强制绑定，每次用户请求访问文件时，首先校验token对应用户ID是否和路径绑定的用户ID一致，再执行后续逻辑，避免出现越权访问漏洞

根目录访问限制解决方案 #

限制根目录列目录权限完全不会影响用户访问自己的文件，按照以下步骤配置即可：

1. 文件系统层权限配置
   将用户文件的总根目录权限设置为仅运行Web服务的用户（比如www-data）可读可写，关闭其他所有用户的读写执行权限，执行命令chmod 700 /你的/用户文件/总根目录即可，这时候除了Web服务进程本身，其他用户都无法访问该目录，更无法列目录，而Web服务进程可以正常读取对应路径下的用户文件。
2. 禁用Web服务的目录索引功能
   如果你确实需要把部分文件放到公开目录下，直接在Nginx/Apache配置中关闭对应目录的autoindex功能，用户访问根路径时会直接返回403错误，不会返回文件列表，不影响正常的指定路径文件访问。
3. 统一走Laravel路由代理文件访问
   不要让用户直接访问静态文件地址，所有文件访问请求都先走Laravel的路由逻辑，校验token和用户权限后，再通过response()->file()或者Storage::download()方法返回文件内容，这样即使攻击者拿到了其他用户的存储路径，没有对应权限也无法访问文件，也完全没有机会访问根目录列取列表。
4. 额外安全加固
   建议开启Laravel的文件签名路由功能，给临时访问的文件生成带过期时间的签名URL，进一步降低路径泄露后的安全风险。

内容的提问来源于stack exchange，提问作者maxcodemachine