könnte das funktionieren? mod_rewrite & bezahlcontent

[longfang]

Hallo!

Ich bin grade am Überlegen, ob die Kombi DB - Header - dynamische Generierung von PDF möglicherweise eleganter gelöst werden kann.
Die Kombi bringt mir den Downloaddialog und bei einigen Clients lässt sich das so genieriert PDF zwar speichern aber nicht online anzeigen. (is aber net das Thema jetzt)

Mein Traum wär, das PDF als Link direkt aufrufbar zu machen und trotzdem zu verhindern, dass das PDF einfach verlinkt wird - es soll ja schliesslich für den Content bezahlt werden.

Daher meine Idee:
Es geistern ja verschiedene Lösungen rum, Bilder vor einem direkten verlinken zu schützen. Diese könnten imho leicht auf PDF umgebaut werden.
Um an dann doch an das PDF zu kommen soll auf Basis der Userauthentifizierung erst auf Anforderung der echte Dateiname aus der DB geholt werden um so zu verhindern, Filenamen zu erraten.

Also: könnte die Kombi:
Externes verlinken durch mod_rewrite verhindern und Userauthentifizierung über die Website + dynamischer Link irgendwelche Löcher haben? Übersehe ich was?

Würde es so eine Lösung auch erlauben, z.B. Google die PDFs zwar durchsuchen zu lassen, aber dass der User die Files trotzdem nicht öffnen kann?

Freu mich auf eure Antworten

[Caterham]

Würde es so eine Lösung auch erlauben, z.B. Google die PDFs zwar durchsuchen zu lassen, aber dass der User die Files trotzdem nicht öffnen kann?

Ein paar Gedanken: wenn du für google einen anderen Content anbietest, müsstest du alle IP-Ranges einschränken, den Useragent kann ja (fast) jeder abändern. -> Keine Authentifizierung = definitiv große Schwachstelle.

Biete Leseproben an, die dann auch google aufnehmen kann; wer mehr sehen will, muss dann eben bezahlen. payed content in der Suchmaschine voll indiziert ist nicht wirklich payed content

Es geistern ja verschiedene Lösungen rum, Bilder vor einem direkten verlinken zu schützen. Diese könnten imho leicht auf PDF umgebaut werden.

Welche durch vorgaukeln von HTTP-Request-Headers meist spielend umgangen werden können (zumindest, wenn sich jemand daran versucht).

Um an dann doch an das PDF zu kommen soll auf Basis der Userauthentifizierung erst auf Anforderung der echte Dateiname aus der DB geholt werden um so zu verhindern, Filenamen zu erraten.

Wenn jemals eine Chance besteht, an die Datei ohne zu bezahlen zu kommen, dann ist das m.E. eine große Sicherheitslücke. Sowas darf eben nicht möglich sein. Wenn jemand einen link setzen möchte, dann muss er diesen auf den Teasertext setzen, von wo aus man dann über Bezahlung etc. das PDF bekommt.

Gruß
Bob

[longfang]

hi bob!

Hast mich überzeugt! Diese 'Lösung' werde ich dann wohl net weiterverfolgen

Danke