Depende do que você quer. Cada arquivo pertence a um único utilizador, e seria ruim se um utilizador acessasse os arquivos de outro? Se uma pessoa com acesso a um arquivo passasse o link para outra, não autorizada, isso seria um problema? Etc.
Alguns comentários sobre suas propostas:
- Utilizar o robots para evitar indexação pelos motores de busca.
Isso só vai impedir que os crawlers que respeitam o robots.txt
indexem seus arquivos - isso não terá efeito algum naqueles que não respeitam (se houver algum) nem impedirá que qualquer usuário em particular acesse esses arquivos. Não que seja ruim fazer isso, apenas insuficiente...
Da mesma forma, impedir que seu webserver retorne índices (ex.: ao acessar dominio.com/uploads/
ele te dá uma lista de todos os arquivos na pasta uploads
) - desabilitando a opção Indexes
- também ajuda a dificultar que um visitante descubra quais arquivos estão lá, mas também não impede alguém com um link de baixá-lo.
- Dar nomes complexos aos ficheiros de modo a evitar download por tentativa erro.
Essa pode ser uma técnica apropriada, dependendo dos seus requisitos de segurança (ver início da resposta). Uma maneira de implementar é criar um link contendo um UUID e/ou o hash do arquivo, e permitir que qualquer um que tenha acesso ao link baixe o arquivo. Naturalmente, seu PHP somente entregará o link para os usuários logados, e se um deles repassar/publicar o link isso não é muito diferente dele simplesmente copiar e entregar o arquivo a terceiros...
(o maior problema dessa técnica é de "relações públicas" - nós sabemos que "adivinhar" um UUID é totalmente impraticável, mas pessoas sem conhecimento técnico tendem a pensar "ah, mas e se alguém descobrir o link? não é mais seguro proteger com senha?"...)
- Proteger pasta com .htpass e .htaccess (não sei qual impacto depois para o PHP conseguir ter acesso a pasta).
Não tenho experiência com PHP, mas creio que não há impacto algum para que ele acesse a pasta (isso é mais uma questão do Directory
do Apache). Quanto à eficácia, assumindo que você esteja usando HTTPS e que seu webserver esteja configurado corretamente (não expondo arquivos .ht*
aos usuários - o que é padrão no Apache) é uma abordagem relativamente segura. Os únicos problemas, segundo essa resposta no security.SE, são de usabilidade (não é exatamente o método mais user-friendly) e a falta de uma proteção mais forte contra ataques de força bruta.
- Modificar o sistema e substituir o link direto por um botão download, assim o diretório não é exposto.
Essa é a maneira mais "garantida", ainda que mais chata de implementar e possivelmente com a pior performance (não necessariamente algo inaceitável). Seria necessário manter a pasta uploads
inacessível (o meio não importa: colocá-la fora do public_html
, usar .htaccess
, usar mod_rewrite
, etc) e criar um script downloads.php
- que poderia combinar uma verificação de acesso tal como sugerido na resposta do Lollipop com o uso de header
e readfile
(atualização: a performance dessa segunda parte pode ser bastante melhorada através do uso de mod_xsendfile; mais detalhes aqui).
Feito isso, você tem total controle sobre a forma de autenticação, os throttles aplicáveis, etc. Muito provavelmente esta é a forma mais segura e que provê a melhor experiência de usuário. Caso alguma das opções anteriores não seja "boa o bastante" para seus requisitos específicos, essa é a maneira que eu sugeriria.