www/plugins/accesrestreint_3_5/action/api_docrestreint.php

   1 <?php
   2
   3 /***************************************************************************\
   4  *  SPIP, Systeme de publication pour l'internet                           *
   5  *                                                                         *
   6  *  Copyright (c) 2001-2009                                                *
   7  *  Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James  *
   8  *                                                                         *
   9  *  Ce programme est un logiciel libre distribue sous licence GNU/GPL.     *
  10  *  Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne.   *
  11 \***************************************************************************/
  12
  13 if (!defined("_ECRIRE_INC_VERSION")) return;
  14
  15 include_spip('inc/headers');
  16
  17 /**
  18  * acces aux documents joints securise
  19  * verifie soit que le demandeur est authentifie
  20  * soit que le document est publie, c'est-a-dire
  21  * joint a au moins 1 article, breve ou rubrique publie
  22  *
  23  * URLs de la forme :
  24  * docrestreint.api/id/cle/file
  25  *
  26  * @param null $arg
  27  */
  28 function action_api_docrestreint_dist($arg=null) {
  29         $status = 404;
  30
  31         if (is_null($arg))
  32                 $arg =_request('arg');
  33
  34         $arg = explode("/",$arg);
  35
  36         if (count($arg)>=3){
  37
  38                 $id_document = intval(array_shift($arg));
  39                 $cle = array_shift($arg);
  40                 // file exige pour eviter le scan id_document par id_document
  41                 $f = implode("/",$arg);
  42
  43                 if ($id_document==0
  44                         AND $cle==1
  45                   AND $f=="test/.test") {
  46                         echo "OK";
  47                         return;
  48                 }
  49
  50                 include_spip('inc/documents');
  51
  52                 $file = get_spip_doc($f);
  53                 spip_log($file,'dbg');
  54
  55                 $status = $dcc = false;
  56                 // securite : on refuse tout ../ ou url absolue
  57                 if (strpos($f,'../') !== false
  58                   OR preg_match(',^\w+://,', $f)) {
  59                         $status = 403;
  60                 }
  61                 else if (!file_exists($file) OR !is_readable($file)) {
  62                         $status = 404;
  63                 }
  64                 else {
  65                         $where = "documents.fichier=".sql_quote(set_spip_doc($file))
  66                         . ($id_document ? " AND documents.id_document=".intval($id_document): '');
  67                         spip_log($where,'dbg');
  68
  69                         $doc = sql_fetsel("documents.id_document, documents.titre, documents.fichier, types.mime_type, types.inclus, documents.extension", "spip_documents AS documents LEFT JOIN spip_types_documents AS types ON documents.extension=types.extension",$where);
  70                         spip_log($doc,'dbg');
  71                         if (!$doc) {
  72                                 $status = 404;
  73                         }
  74                         else {
  75
  76                                 // ETag pour gerer le status 304
  77                                 $ETag = md5($file . ': '. filemtime($file));
  78                                 if (isset($_SERVER['HTTP_IF_NONE_MATCH'])
  79                                   AND $_SERVER['HTTP_IF_NONE_MATCH'] == $ETag) {
  80                                         http_status(304); // Not modified
  81                                         exit;
  82                                 }
  83                                 else {
  84                                         header('ETag: '.$ETag);
  85                                 }
  86
  87                                 //
  88                                 // Verifier les droits de lecture du document
  89
  90                                 // en controlant la cle passee en argument si elle est dispo
  91                                 // (perf issue : toutes les urls ont en principe cette cle fournie dans la page au moment du calcul de la page)
  92                                 if ($cle){
  93                                         include_spip('inc/securiser_action');
  94                                         if (!verifier_cle_action($doc['id_document'].','.$f, $cle)) {
  95                                                 spip_log("acces interdit $cle erronee");
  96                                                 $status = 403;
  97                                         }
  98                                 }
  99                                 // en verifiant le droit explicitement sinon, plus lent !
 100                                 else {
 101                                         if (!function_exists("autoriser"))
 102                                                 include_spip("inc/autoriser");
 103                                         if (!autoriser('voir', 'document', $doc['id_document'])) {
 104                                                 $status = 403;
 105                                                 spip_log("acces interdit $cle erronee");
 106                                         }
 107                                 }
 108                         }
 109                 }
 110         }
 111
 112
 113         switch($status) {
 114
 115         case 403:
 116                 include_spip('inc/minipres');
 117                 echo minipres("","","",true);
 118                 break;
 119
 120         case 404:
 121                 http_status(404);
 122                 include_spip('inc/minipres');
 123                 echo minipres(_T('erreur').' 404',
 124                         _T('medias:info_document_indisponible'),"",true);
 125                 break;
 126
 127         default:
 128                 header("Content-Type: ". $doc['mime_type']);
 129                 // pour les images ne pas passer en attachment
 130                 // sinon, lorsqu'on pointe directement sur leur adresse,
 131                 // le navigateur les downloade au lieu de les afficher
 132
 133                 if ($doc['inclus']=='non') {
 134
 135                         $f = basename($file);
 136                         // ce content-type est necessaire pour eviter des corruptions de zip dans ie6
 137                         header('Content-Type: application/octet-stream');
 138
 139                         header("Content-Disposition: attachment; filename=\"$f\";");
 140                         header("Content-Transfer-Encoding: binary");
 141
 142                         // fix for IE catching or PHP bug issue
 143                         header("Pragma: public");
 144                         header("Expires: 0"); // set expiration time
 145                         header("Cache-Control: must-revalidate, post-check=0, pre-check=0");
 146
 147                 }
 148                 else {
 149                         header("Expires: 3600"); // set expiration time
 150                 }
 151
 152                 if ($cl = filesize($file))
 153                         header("Content-Length: ". $cl);
 154
 155                 readfile($file);
 156                 break;
 157         }
 158
 159 }
 160
 161 ?>