如何限制文件/URL的直接下载与访问？附网站业务场景说明

嘿，针对你提到的两个场景，我给你整理了切实可行的方案，核心思路是通过会话验证+服务器端控制，确保只有合法表单提交后才能访问目标页面或下载文件：

场景1：保护success.html与error.html的直接访问 #

这两个页面是表单提交后的结果页，必须确保用户是通过subscribe.php处理完表单后跳转过来的，不能直接输URL访问。

方案1：用PHP会话（SESSION）做验证（推荐） #

1. 修改subscribe.php逻辑：
   在处理完表单验证（不管注册成功还是失败）后，添加会话标记：

   <?php
   session_start();
   // 处理表单逻辑...
   
   // 设置合法提交标记
   $_SESSION['valid_submission'] = true;
   
   // 跳转对应页面
   if ($注册成功) {
       header("Location: success.php");
   } else {
       header("Location: error.php");
   }
   exit;
   ?>
   

   注意：把原来的success.html和error.html改成.php后缀（比如success.php），这样才能执行PHP代码做会话检查。

2. 在结果页添加会话检查：
   在success.php和error.php的最顶部添加以下代码：

   <?php
   session_start();
   // 检查是否来自合法表单提交
   if (!isset($_SESSION['valid_submission'])) {
       // 非法访问，跳转到登录/注册入口页面
       header("Location: /login.html");
       exit;
   }
   // 用完即销毁标记，防止用户刷新页面重复访问
   unset($_SESSION['valid_submission']);
   ?>
   <!-- 这里放原来success.html的所有HTML内容 -->
   

方案2：用.htaccess做辅助限制（可选，配合SESSION更安全） #

如果不想改HTML后缀，可以通过Apache的mod_rewrite限制Referer来源，但注意Referer可能被浏览器禁用，所以仅作为辅助：

RewriteEngine On
# 禁止直接访问success.html和error.html，仅允许从subscribe.php跳转
RewriteCond %{HTTP_REFERER} !^http://subdomain.example.com/subscribe.php$
RewriteCond %{REQUEST_URI} ^/(success|error)\.html$
RewriteRule ^ /login.html [R=302,L]

场景2：限制PDF的直接下载 #

要确保用户只有填写完PDF下载表单并通过验证后，才能获取PDF文件，核心是把PDF放在Web根目录外，通过PHP脚本控制输出：

1. 调整文件存放位置：
   把PDF文件放到Web根目录以外的路径，比如你的网站根目录是/var/www/html/，就把PDF放在/var/www/private/your-document.pdf，这样直接通过URL访问不到。

2. 表单处理脚本添加会话标记：
   在处理PDF下载表单的PHP脚本（比如pdf-submit.php）中，验证表单成功后设置会话标记：

   <?php
   session_start();
   // 处理表单验证逻辑...
   if ($表单验证通过) {
       // 设置允许下载的标记
       $_SESSION['allow_pdf_download'] = true;
       // 跳转到PDF输出脚本
       header("Location: get-pdf.php");
   } else {
       header("Location: pdf-form-error.html");
   }
   exit;
   ?>
   

3. 编写PDF输出脚本get-pdf.php：
   这个脚本负责检查会话标记，合法则输出PDF内容：

   <?php
   session_start();
   // 检查是否有合法下载权限
   if (!isset($_SESSION['allow_pdf_download'])) {
       header("Location: /pdf-form.html");
       exit;
   }
   // 销毁标记，防止重复下载
   unset($_SESSION['allow_pdf_download']);
   
   // 定义PDF的实际路径
   $pdf_file = '/var/www/private/your-document.pdf';
   if (file_exists($pdf_file)) {
       // 设置HTTP头，告诉浏览器这是PDF文件
       header('Content-Type: application/pdf');
       header('Content-Disposition: attachment; filename="your-document.pdf"');
       header('Content-Length: ' . filesize($pdf_file));
       // 输出PDF内容
       readfile($pdf_file);
       exit;
   } else {
       // 文件不存在时跳转错误页
       header("Location: /error.html");
       exit;
   }
   ?>
   

额外注意事项 #

• 所有使用SESSION的页面，必须在输出任何HTML内容之前调用session_start();，否则会报错。
• 一定要做服务器端表单验证，不能只依赖前端验证，防止恶意用户绕过前端直接提交请求。
• 如果使用.htaccess方案，确保你的Apache服务器已经开启了mod_rewrite模块。

内容的提问来源于stack exchange，提问作者Nafees Khabir