作者poeta (键盘诗人)
看板PHP
标题[请益] 用网址传值当简单的加密，可行吗？
时间Mon Jan 30 20:01:44 2017
我想要把一些课程的共笔丢到学校的网路空间，方便
同班的同学随时观看，以及上传档案，又不想要被搜寻引
擎抓到。尤其怕访客乱传档案上去。
那麽我简单的用get传值，就是用一个if判断式 ，如
果网址後面有?password=1234，就显示内容，else就是一
张空白网页，或者加一个密码输入框。
不用POST的原因，是我贴网址的时候就直接可以贴密
码过去，比较方便。这样是可行的吗？还是说有其他不周
全的地方。
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.232.162.73
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/PHP/M.1485777707.A.111.html
※ 编辑: poeta (36.232.162.73), 01/30/2017 20:32:10
1F：→ imhaha: google [get post] 应该满多东西可以参拜的 01/30 20:48
2F：推 lambo: session? 01/30 22:58
3F：推 aaa7513231: 用ftp是不是就是你的需求了？ 01/30 23:01
4F：推 zop: 或者利用一些云端空间限制使用者共用不是很方便？ 01/30 23:10
因为预设的FTP是我的学号帐号密码，就不太适合公开。
我开一个权限最高的资料夹，任何人可以上传、下载、删除东西。
云端空间也是一个方法啦，但也就是要另外登入GOOGLE的帐密，设定权限什麽的。
我只是想问说只用GET传值当密码，是不是可行。
※ 编辑: poeta (36.232.162.73), 01/30/2017 23:49:00
5F：推 GALINE: 知道网址不用登入就能存取的话，Google/雅虎会抓得到... 01/30 23:44
6F：→ GALINE: 至少要上 robots.txt，但某些情况下还是可能被索引 01/30 23:46
7F：→ GALINE: 请参照北市府薪资报表泄漏案... 01/30 23:46
8F：→ GALINE: 如果大家都有 google帐号，用 google drive + 授权限制 01/30 23:47
9F：→ GALINE: 会是比较安全的方案 01/30 23:47
10F：→ GALINE: 反过来，共笔为什麽不能给别人看...XDDDD 01/30 23:48
就是有一些内容是抄录别人的东西，纯粹自己人看的，感觉还是不适合全公开。
所以搜寻引擎看不到网页的内容，但上传的东西还是有可能被爬到齁....
不过通常档案只是暂时放上去给大家速抓的，不会放太久。
但网页本身应该安全吧，都是写在 if ($_GET["password"]==1234){}里面
※ 编辑: poeta (36.232.162.73), 01/30/2017 23:56:02
11F：推 GALINE: 搜寻引擎若发现「a.php?password=1234」这个网址有东西 01/31 00:06
12F：→ GALINE: 就有可能把这个东西显示在结果项目里面。但会不会显示内文 01/31 00:07
13F：→ GALINE: 又是另一件事情。我不知道这算不算你所认定的「安全」... 01/31 00:07
14F：→ GALINE: 你要「保证」不会出事的话，这件事就不会太单纯 01/31 00:09
15F：→ GALINE: 或你觉得一下下没关系，那你可以考虑简单做 01/31 00:10
16F：→ GALINE: 但坦白说我觉得用 google drive 比自己做更简单... 01/31 00:10
17F：→ GALINE: 除非你不想拿到其他人的google帐号，或有人没有google帐号 01/31 00:11
18F：→ GALINE: 而在这种状况下，if($_POST['pwd']==1234) 的问题会比较少 01/31 00:12
19F：→ GALINE: 优点是搜寻引擎毛手毛脚不到这里，缺点是要多一个表单 01/31 00:13
20F：→ GALINE: 拿一点麻烦交换一点安全。毕竟同一个连结一定能连到的东西 01/31 00:14
21F：→ GALINE: 我不会称之为「安全」... 01/31 00:14
22F：→ poeta: 谢谢指点 01/31 00:39
23F：→ MangoTW: Google 不会平白无故知道 ?pw=1234 除非有人公开让他扫到 01/31 01:46
24F：→ MangoTW: 如果确定大家不会公开这个网址，甚至做超连结在其他网页 01/31 01:47
25F：→ MangoTW: 那理论上可以达到保密 01/31 01:47
26F：→ MangoTW: 但是你的需求是档案分享，可能 FTP 或云端硬碟更适合 01/31 01:48
27F：→ MangoTW: 云端硬碟设定只有浏览权限的网址，其实跟你网址保密一样 01/31 01:49
28F：推 GALINE: 江湖谣传Google Bot有能力猜网址。而北市府的事情则是跟 01/31 09:40
29F：→ GALINE: Yahoo工具列有关的样子 01/31 09:40
30F：→ GALINE: 虽然理论上 robots.txt 设好後搜寻引擎就会当作没看到 01/31 09:41
31F：→ GALINE: 但终究问题是想要多高的安全性。安全是相对的不是绝对的 01/31 09:43
32F：→ GALINE: 如果「真的很不能露出去」，那只靠网址不是好招 01/31 09:43
33F：→ GALINE: 如果更接近「随便啦，不要很容易发现就好反正一下下而已」 01/31 09:44
34F：→ GALINE: 那....其实是没差。 01/31 09:44
35F：→ thirteeen: 如果真要这样搞的话 建议传过去的password至少要有一 02/01 18:24
36F：→ thirteeen: 些身份或时间的限制 很难保证这串带着密码的网址不会外 02/01 18:24
37F：→ thirteeen: 流被别人使用 例如将你的密码用timestamp server收到 02/01 18:24
38F：→ thirteeen: 後判断+-10分钟内有效 加个可逆的hash函数包成密码 认 02/01 18:24
39F：→ thirteeen: 证後就可以用session方式让他下次不用再验证 02/01 18:24
40F：→ thirteeen: 但毕竟还是不安全 可以的话像推文各位大大说的 用正规 02/01 18:25
41F：→ thirteeen: 点的做法比较好 02/01 18:25
42F：→ xdraculax: 骇客机器人是会自己乱试网址的，不是乖乖给你爬连结的 02/02 03:51
43F：→ xdraculax: ，以前公司有购物网站被跑 delete=xx 删掉几百万的交 02/02 03:51
44F：→ xdraculax: 易纪录 ... 02/02 03:51
45F：→ xdraculax: 只要有连结就能看的东西就没有100%安全 02/02 03:52
46F：→ AizawaYuuiti: 自己的东西要这样用是无所谓，比较快 02/03 17:30
47F：→ AizawaYuuiti: 但你不能保证没有天兵把他贴到哪个SNS上，Google就 02/03 17:31
48F：→ AizawaYuuiti: 很容易知道，这样就不太安全 02/03 17:32
49F：→ NioTW: 把密码写在网址等同云端硬碟「知道网址都可看」 02/10 08:41
50F：→ NioTW: 只要有人贴在任何社群网站基本就是曝光了 02/10 08:43