Pode tentar o meio simples onde o PHP lê o arquivo inteiro e despacha para o usuário. Contudo, essa técnica tem um custo alto pois consome memória, e quanto maior o arquivo, maior será o consumo.
Podemos considerar grande os arquivos a partir de 1mb. E isso é proporcional ao volume de acessos. Num site muito movimentado por exemplo, 10kb é também pesado. Enfim.
Uma opção viável é usar em conjunto com o módulo X-SendFile.
Caso consiga instalar o X-SendFile no servidor, é uma melhor opção em relação ao uso de funções como file_get_contents()
, readfile()
e fopen()
.
A lógica no uso do X-SendFile é que é feito um "desvio de rota" durante o processamento do PHP onde o próprio servidor web (apache, nginx, etc) fará o despacho desse arquivo para o usuário, sem precisar usar o PHP para ler o arquivo.
Na imagem acima, o processo tradicional usando somente o PHP.
① Usuário requisita
② Webserver envia dados para o PHP
③ PHP processa (faz autentição e qualquer outra coisa)
Então faz leitura do aquivo.
④ O PHP escreve o conteúdo do arquivo para o webserver
⑤ O webserver despacha para o usuário
Veja a mesma situação com X-SendFile
① Usuário requisita
② Webserver envia dados para o PHP
③ PHP processa (faz autentição e qualquer outra coisa)
Então despacha um header para o webserver (o trabalho do PHP termina aqui).
④ O webserver entende o header e invoca o módulo X-SendFile que devolve o caminho do arquivo que deve ser despachado.
Nota: O X-SendFile não faz leitura do conteúdo do arquivo. Apenas informa ao webserver que o conteúdo a ser despachado está no caminho especificado no header fornecido pelo PHP.
Exemplo prático
Não é um exemplo completo de download autenticado conforme pede a pergunta, porém, é um exemplo útil para entender como usar o X-SendFile.
Crie uma pasta no seu localhost ou seja lá onde preferir:
/xsendfile
Dentro dessa pasta crie uma pasta imgx
e um arquivo index.html
com o seguinte conteúdo:
ok, imagem<br>
<img src="img/1.jpg">
Lembre-se que anteriormente criamos a pasta imgx
mas no HTML estamos chamando img/
que não existe.
A estrutura está assim
/xsendfile
/index.html
/imgx/1.jpg
O arquivo 1.jpg
é uma imagem qualquer para teste. Deve estar dentro da pasta imgx
. Essa pasta será acessível pelo X-SendFile.
Crie um arquivo .htaccess
com o seguinte conteúdo:
XSendFile on
RewriteEngine On
RewriteRule ^/?img/(.*)$ /xsendfile/img.php?file=$1 [L,R=301]
Salve-o na pasta /xsendfile
Agora a estrutura está assim:
/xsendfile
/.htaccess
/index.html
/imgx/1.jpg
Vamos criar o roteador. No htaccess é img.php
.
Esse é o código:
<?php
date_default_timezone_set('Asia/Tokyo');
ini_set('error_reporting', E_ALL & ~E_STRICT & ~E_DEPRECATED); // & ~E_NOTICE
ini_set('log_errors', true);
ini_set('html_errors', false);
ini_set('display_errors', true);
/*
The images must be on the same directory or into subfolders.
Not allowed to load images from up folders.
Must turn it on into htaccess file:
XSendFile on
*/
/*
true: send file headers
false: do not send the file headers
*/
define('FILE_HEADERS_ENABLED', false);
if (isset($_GET['file'])) {
$file = $_GET['file'];
}
// File's absolute path
/*
Lembra da pasta "imgx"? É aqui que setamos o caminho real.
Lembre-se que o nome da pasta deve ser dificil de ser advinhada caso esteja num diretório público. Mais para frente explico porque nesse exemplo colocamos numa pasta pública.
*/
$path = __DIR__.DIRECTORY_SEPARATOR.'imgx'.DIRECTORY_SEPARATOR.$file;
// Checking if path exists.
// Se o arquivo não existir, carregará uma imagem padrão.
if (!file_exists($path)) {
// Path not found. Will load default missing image.
$path = __DIR__.DIRECTORY_SEPARATOR.'imgx'.DIRECTORY_SEPARATOR.'no_image.gif';
}
/*
Aqui ou em qualquer outra parte que for conveniente para o seu caso,
poderia chamar rotinas de autenticação, por exemplo.
*/
$autentica_algo = true;
if ($autentica_algo === false) {
// aqui não autenticou, então interrompe, envia um arquivo falso ou sei lá.. Cada um inventa a firula que quiser.
}
/*
Os headers abaixo pode apagar se quiser. Não faz diferença. Mas dependendo do caso pode ser útil.
Normalmente utilizo para testes.
*/
header("Cache-Control: no-cache, must-revalidate"); //HTTP 1.1
header("Pragma: no-cache"); //HTTP 1.0
header("Expires: Sat, 26 Jul 1997 05:00:00 GMT"); // Date in the past
if (FILE_HEADERS_ENABLED) {
$info = getimagesize($path);
header('Content-type: '.$info['mime']);
header('Content-length: '.filesize($path));
header('Content-Disposition: inline; filename="'.basename($file).'"');
}
// Sent the x-sendfile header
// Esse header invoca o módulo X-Sendfile.
header('X-Sendfile: '.$path);
/*
Aqui pode usar um exit se preferir que o script não continue. Mas normalmente já interrompe no header acima.
Por via das dúvidas, interrompa explicitamente.
*/
exit;
Com isso tudo temos a estrutura:
/xsendfile
/.htaccess
/index.html
/img.php
/imgx/1.jpg
Execute e veja o que acontece: http://localhost/xsendfile/
Será exibido a imagem que está na pasta imgx
mesmo não existindo o local img/1.jpg
.
Experimente remover ou desabilitar o .htaccess e veja o que acontece. Retorna um not found na imagem pois não há um roteamento e portanto não carregará a imagem invocada pelo X-SendFile.
Também pode tentar diretamente no browser http://localhost/xsendfile/img/1.jpg
pois o htaccess toma conta do redirect e o img.php
invocará o X-SendFile.
Como instalar o X-SendFile?
Para usar o X-Sendfile normalmente necessita de acesso administrativo ao servidor (dedicado, vps). Geralmente em hospedagem compartilhada não existe o módulo instalado e dificilmente o suporte do provedor faria a instalação. Portanto essa solução é normalmente mais acessível para quem tem acesso administrativo ao ambiente do servidor.
*Considerando o Apache como webserver
Para Windows: https://www.apachelounge.com/download/ ou https://tn123.org/mod_xsendfile/
Para Linux: https://tn123.org/mod_xsendfile/
Explicação adicional sobre a estrutura do exemplo
Para entender melhor, seguindo o exemplo acima:
/xsendfile
/.htaccess
/index.html
/img.php
/imgx/1.jpg
Para proteger ainda mais os arquivos da pasta imgx/
, poderíamos colocá-la fora da pasta pública.
c:/ww/private/imgx/1.jpg
c:/ww/public/xsendfile
/.htaccess
/index.html
/img.php
Isso seria o ideal, mas o X-SendFile não permite recuo de diretórios por razões de segurança. É possível aplicar dessa forma fazendo algumas implementações mas, para evitar complicar o exemplo, demonstrei de uma forma mais simples.
O módulo é open source e qualquer pessoa pode recompilar e remover tais restrições. Mas só faça isso se souber o que está fazendo.
Observações no uso do X-SendFile
Normalmente entra em conflito com regras de reescrita de URL.
Caso tenha regras de reescrita num sistema já em funcionamento, prefira usar o X-SendFile separado desse sistema. A menos que você seja um mazoquista e queira fazer gambiaras para tornar compatível.
Não é possível enviar para o cabeçalho X-SendFile, arquivos acima do diretório de onde é invocado. Ou seja, não é permitido definir um path com recuo de diretórios.
O módulo é desenvolvido por um terceiro sem suporte de uma empresa que garanta continuidade. Esse é talvez o ponto mais fraco pois o dia que o desenvolvedor deixar de manter, todos que usam ficarão sem updates e suporte ou terão que aprender a ler o código e dar continudade ao projeto. Enfim, isso depende da comunidade de developers.