Possuo uma aplicação de learning baseada em wordpress, e possuo ainda diversas vídeo aulas no diretório public_html/wp-content/uploads/...
Gostaria de impedir o acesso direto a esses vídeos, uma vez que que é necessário realizar a aquisição do curso para poder assisti-los.
Ao estudar a questão deparei-me com as seguintes proposições de solução para este problema:
Solução 1: Bloquear requisições vindas da WEB, utilizado um arquivo .htaccess
, aos meus arquivos de vídeo (.mp4) e servi-los ao cliente com PHP, através da função readfile()
. Deste modo eu poderia verificar se o usuário pode acessar o arquivo, antes de servi-lo. Esta solução é funcional, mas não me agradou, pois acredito que o consumo de recursos do servidor será muito alto, já que o PHP estará lendo/processando os arquivos.
Neste caso adicionaria um arquivo .htaccess
em wp-content/uploads/
com a seguinte diretivas:
Rewriterule \.mp4$ dl-file.php [L]
E usaria um script (dl-file.php
) análogo a este para servir o arquivo de vídeo :
/*
* dl-file.php
*
* Protect uploaded files with login.
*
* @link http://wordpress.stackexchange.com/questions/37144/protect-wordpress-uploads-if-user-is-not-logged-in
*
* @author hakre <http://hakre.wordpress.com/>
* @license GPL-3.0+
* @registry SPDX
*/
require_once('wp-load.php');
is_user_logged_in() || auth_redirect();
list($basedir) = array_values(array_intersect_key(wp_upload_dir(), array('basedir' => 1)))+array(NULL);
$file = rtrim($basedir,'/').'/'.str_replace('..', '', isset($_GET[ 'file' ])?$_GET[ 'file' ]:'');
if (!$basedir || !is_file($file)) {
status_header(404);
die('404 — File not found.');
}
$mime = wp_check_filetype($file);
if( false === $mime[ 'type' ] && function_exists( 'mime_content_type' ) )
$mime[ 'type' ] = mime_content_type( $file );
if( $mime[ 'type' ] )
$mimetype = $mime[ 'type' ];
else
$mimetype = 'image/' . substr( $file, strrpos( $file, '.' ) + 1 );
header( 'Content-Type: ' . $mimetype ); // always send this
if ( false === strpos( $_SERVER['SERVER_SOFTWARE'], 'Microsoft-IIS' ) )
header( 'Content-Length: ' . filesize( $file ) );
$last_modified = gmdate( 'D, d M Y H:i:s', filemtime( $file ) );
$etag = '"' . md5( $last_modified ) . '"';
header( "Last-Modified: $last_modified GMT" );
header( 'ETag: ' . $etag );
header( 'Expires: ' . gmdate( 'D, d M Y H:i:s', time() + 100000000 ) . ' GMT' );
// Support for Conditional GET
$client_etag = isset( $_SERVER['HTTP_IF_NONE_MATCH'] ) ? stripslashes( $_SERVER['HTTP_IF_NONE_MATCH'] ) : false;
if( ! isset( $_SERVER['HTTP_IF_MODIFIED_SINCE'] ) )
$_SERVER['HTTP_IF_MODIFIED_SINCE'] = false;
$client_last_modified = trim( $_SERVER['HTTP_IF_MODIFIED_SINCE'] );
// If string is empty, return 0. If not, attempt to parse into a timestamp
$client_modified_timestamp = $client_last_modified ? strtotime( $client_last_modified ) : 0;
// Make a timestamp for our most recent modification...
$modified_timestamp = strtotime($last_modified);
if ( ( $client_last_modified && $client_etag )
? ( ( $client_modified_timestamp >= $modified_timestamp) && ( $client_etag == $etag ) )
: ( ( $client_modified_timestamp >= $modified_timestamp) || ( $client_etag == $etag ) )
) {
status_header( 304 );
exit;
}
// If we made it this far, just serve the file
readfile( $file );
Neste caso os arquivos de vídeo não estariam fora de public_html
, uma vez que eu ainda precisaria avaliar as consequências disso, para minha aplicação Wordpress, e ainda os impactos sob alguns utilitários que utilizo, baseados na API interna do WP-CLI.
Solução 2: Utilizar um módulo do apache chamado mod_xsendfile
para servir o arquivo, após verificar, com PHP, se o usuário pode ou não obter acesso àquele vídeo. mod_xsendfile
é um módulo não oficial, de um terceiro, e a última atualização data de 2012. Devido a estes fatores, somado ao fato do projeto não possuir uma comunidade ativa, optei por não utilizar esta solução.
Solução 3: Impedir o acesso direto através de um arquivo .htacess
realizando a checagem do header %{HTTP_REFERER}
. Este não é um modo confiável, uma vez que devo permitir, por questões de usabilidade, o acesso quando %{HTTP_REFERER}
também for vazio, ou seja, basta um cliente modificar %{HTTP_REFERER}
para ter acesso às vídeo aulas (.mp4) privadas. Caso o valor de %{HTTP_REFERER}
fosse confiável, em 100% das vezes, esta seria uma boa solução, pois a entrega do arquivo de vídeo estaria condicionada à minha aplicação, que decide se o usuário deve ou não acessar a aula.
Solução 4: Utilizar um plugin denominado Prevent Direct Access Para entregar o arquivo ao usuário o plugin utiliza-se de um script muito semelhante ao exibido na solução 1, o que também o tornou inviável, além do custo da licença ser alto. Mas em linhas gerais é uma boa solução quando os arquivos a serem disponibilizados não são muito grandes.
Solução 5: Por fim eu imaginei uma possível solução para meu problema, mas me falta, ainda, o conhecimento necessário para verificar sua aplicabilidade, segue:
Sempre que um usuário realizar uma requisição direta a um arquivo de vídeo eu realizo a checagem de uma flag através de um arquivo .htaccess
. Quanto a esta flag eu ainda não sei ao certo o que ela pode ser, um parâmetro get
, ou então uma variável de ambiente do apache, ou ainda um header.
Se esta flag possuir um dado valor eu realizo o envio do arquivo, ou então caso ela possua um outro valor, diferente do necessário para que o arquivo seja enviado, o mesmo não é enviado ao usuário. Por fim se esta flag não existir, no momento da checagem, eu reescrevo a URL com uma diretiva RewriteRule
que apontará a um script PHP.
Este script verifica se o usuário pode ou não acessar o arquivo de vídeo (verifica se esta logado e se realizou a compra do curso, basicamente) e então seta a respectiva flag, e faz uma nova requisição ao arquivo de vídeo, o que fará com que o .htaccess
executado anteriormente seja executado novamente, porém agora a flag existe, pois foi definida no script. Com isso o arquivo .htaccess
encontrará a flag definida, e em função do valor decide por entregar ou não o arquivo solicitado ao usuário. Após enviar a resposta a flag é então destruída.
Como mencionei, não sei dizer se isto é possível, e quais estruturas utilizar. Trata-se de uma suposta solução, que preciso verificar se é possível. Caso não seja como eu poderia fazer para impedir o acesso direto aos vídeos, lembrando de considerar as soluções que já encontrei e descartei anteriormente.
readfile();
do próprio PHP, que pode pegar arquivos fora da raiz sem problema (que é parcialmente seu 1). Só dou preferência ao módulo justamente para não ter o PHP processando o stream à toa se posso deixar para o Apache. Sobre o link, é uma opinião, de uma pessoa, que até pode ser válida, mas tem que relativizar um bocado.