Здравствуйте, подскажите пожалуйста как защитить скрипт, который обрабатывает запрос из формы. Вот пример:

пользователь указывает имя до файла типа .txt, после чего скрипт pers.php должен его парсить.
Мне нужно сделать защиту:
1) Чтобы до файла pers.php пользователь не мог перейти с помощью прямого вызова.
2) Чтобы пользователь попал на страницу pers.php только в случае если нажмет кнопку Отправить, а как-нибудь по-другому.
3) Чтобы не было возможности загрузить вредоносный скрипт.

Вот наверное и все. Подскажите пожалуйста как это реализовать? Большое спасибо. 

1/2) Генерация ключа формы или просто проверка на наличие переменной "file" в $_POST. Если нет - редиректить на форму
3) Проверять расширение.

а это как подскажите пожалуйста


ну допустим пользователь указал путь "C:\test.txt", Я проверяю расширение все в порядке txt, а что там может быть внутри.

какая разница что там внутри, если запустить его не получится?



да я думаю такие сложности никчему. Просто файл формы (form.html):


а в pers.php:

Типа того

awers, у меня файл не загружается на сервер, а просто парсится используя fopen() и т.д
А какие средства защиты нужно еще предусмотреть или этого достаточно?

GrafF812, эм. Что значит не загружестся?! input type=file же.
Каким таким магическим образом ты парсиш файл на тачке пользователя?

ни один из этих пунктов не имеет никакого значения.

о, свеженький клиент. 
думает, что если файлик парсится на его рабочей тачке, которая одновременно является и сервером, то при удаленном обращении будет все то же самое - сервер полезет на чужой компьютер за файлом. причем по адресу C:\test.txt. Ведь в мире только один диск Цэ.

вот таким и парсит
причем, судя по всему, он действительно не загружает, а получает только путь. Форма ж даже без мультипарта 

Это сообщение отредактировал(а) Ипатьев - 27.2.2010, 19:38

поясните пожалуйста почему не имеет? Я просто хочу сделать так, чтобы до скрипта никто не смог добраться, кроме как через кнопку submit

это невозможно и не нужно.

не понимаю, что в php не предусматривают защиту от прямого вызова?

На самом деле в протоколе НТТР все вызовы "прямые", только не все об этом знают.
Ты вот узнал и теперь должен умереть.

если файл не имеет расширения .php или любого другого расширения, упомянутого в конфигурационном файле вашего вэб-сервера в блоке модуля php, то пхп-интерпретатор даже не будет запущен, а файл (в случае его прямой видимости из сети) будет отдан вэб-сервером без лишних вопросов.

отсюда простая истина: дабы закрыть файл для скачивания из сети, надо либо вынести его за пределы видимых из сети каталогов, либо наложить соответствующие директивы, применяемые на том или ином сервере. к примеру, на сервере апач директивы прописываются в файле .htaccess, который кладётся в директорию, которую следует закрыть. в ней прописываются команды с указаниями, как поступить в случае того или иного запроса.

по поводу ваших проблем по сути уже сказано достаточно, но объяснить больше практически невозможно. зато можно посмотреть самому.
совет простой: найдите себе хостинг в интернете (есть и бесплатные вместе с php), выложите туда ваш скрипт и начните тренироваться на реальной машине. вы сразу увидите, что у вас ничего не работает, и что задавать следует совершенно иные вопросы. и когда вы придёте с ними, вам начнут вполне конкретно отвечать:
да, файл у вас не загружается, потому что не прописан соответствующий enctype формы
да, файл можно скачать напрямую, потому что он не закрыт соответстующими директивами
да, искать вредоносный код в файле бессмысленно, потому что он не запускается

но пока вы не можете увидеть даже то, что файл у вас не загружается, потому в вашем случае и клиент и сервер находятся на одной машине, и вы не видите между ними разницы

Добавлено через 7 минут и 26 секунд

злой ты человек

bars80080, а ты добрый.     
Хостинг конечно хорошо - правильно, только попадется кривой, хлопот не оберешся. А уж ТС и не разберется, хороший хостинг или нет.

Да, я злой, но не здесь. Это просто шутка. как в фильмах про пиратов - "Ты узнал, гле спрятано сокровище и должен умереть!"

bars80080, спасибо большое.