为网站中的登录用户下载唯一的PDF文件进行身份验证

Question

我的网站有不同的用户，每个用户都有单独的PDF文件，我想赋予用户下载文件的权限（但不应该看到其他用户的文件）。现在我已经创建了一个登录名，并且在 SESSION 中拥有用户 ID（我正在使用 PHP 作为后端）。那么完成此任务的安全方法是什么？另外，我应该如何在服务器上管理许多这些PDF？（目前我已将所有PDF保存在一个文件夹中，但这似乎不安全，我认为未经身份验证的用户可以轻松提取这些PDF）

Answer 1

在高层次上：

1. 将您的 PDF 存储在 Web 服务器文档根目录之外。使浏览器完全无法访问它们。
2. 编写一个 PHP 脚本来处理下载请求。此 PHP 页面可以检查会话用户 ID，以确保用户请求允许他们访问的文件。
3. 然后使用header()调用和readfile()将相应的 PDF 文件发送给用户。

当您对此进行研究和处理后，请随时回来发布问题，并对代码提出具体问题。