web服务器上的文件权限？

Question

我在为网站写代码方面是个新手。该网站允许用户上传文件，如头像或其他图片。这些文件保存在unix文件系统中，用于查找这些图像的URL存储在MySQL数据库中。

看起来我唯一能让用户上传文件的方法就是给任何使用chmod的人写访问权限。否则它会抱怨说它没有写权限。但是他们不应该写任何他们想写的东西，或者覆盖其他用户的东西。类似地，要允许用户查看他们有权访问的图像，他们需要文件系统上的读取权限。但现在，这意味着任何人都可以看到该图片的网址也可以，对吗？这不是我想要的。

有没有解决这个矛盾的办法？或者我对这个问题的思考是错误的？谢谢你的帮助。

Answer 1

您需要管理应用程序中的权限，而不是直接向客户端公开本地文件系统的任意部分。您的应用程序应该决定其他人可以查看哪些文件或将数据写入何处。您不应该信任来自clients...ideally的数据(文件名等)，使用系统生成的名称将文件存储在磁盘上，并将人类可读的名称存储在数据库中。

Answer 2

SunStar9，

既然您已经在使用MySQL数据库在文件系统上存储图像的URL，为什么不直接将图像本身存储为BLOB (二进制大对象)呢？

对于允许用户将二进制数据上传到网站而言，这通常是一种被广泛接受的设计实践。

你是否在使用PHP、Java、Ruby/Rails或其他工具来开发你的网站？根据您使用的是什么，如果您确定要使用文件系统来存储图像数据，则可能会有文件上传/管理插件或模块，它们将帮助您开发您正在尝试执行的操作。