Как и где лучше хранить документы на сайте?

Question

[temakorolev1]

Встала задача загрузки на сайт документов для верификации пользователей. Как их лучше загружать и хранить в дальнейшем без утечек? Серверная часть сайта на PHP. Поделитесь вашими советами или мануалами.

Comments

[Александр Торопов]

И не забудьте зарегистроваться в "Реестре операторов, осуществляющих обработку персональных данных".

Answer 1

[Daria Motorina]

1) создаете папку для документов за пределами публичной папки (той, в которой index.php и статика)
2) создаете экшен для загрузки файлов, помещаете туда эти файлы, привязываете файл к пользователю на уровне базы данных
3) отдача файла для просмотра должна производиться только через экшен (чтобы не было прямого доступа к файлу методом подбора урла), с проверкой, что только юзер и админы могут его просматривать

Answer 2

[Sanes]

загрузки на сайт документов для верификации

Не надо их хранить. Посмотрели и удалили.

Comments

[Sanes]

felony13twelve, для чего их хранить, если документ для верификации? Каждый раз чтоль будет смотреть?

[temakorolev1]

Если даже так, суть вопроса же в другом, мне понять как их загружать правильно и хранить их хотя бы до просмотра администраций.

[Sanes]

temakorolev1, куда программист скажет, туда и сохранять. Это временное хранилище. За пределы публичной директории конечно.

[Sanes]

felony13twelve, какую-то уникальную информацию можно и в базе хранить в зашифрованном виде. Если прям так сильно надо.

Answer 3

[TheLostRoot]

Посмотрите в сторону объектных хранилищь например Minio(совместим с AWS S3). Разверните его у себя на сервере и храните там. Это будет надеждее чем просто хранить в папке как предлогали в сообщениях выше.

Answer 4

[Олег Волков]

Видел подобный пример когда AWS учил. Документ грузился напрямик в S3 по токену с веб сервера. Без токена никому нет никакого доступа. Как-то так.

Comments

[Adamos]

Грузить персональные данные россиян прямиком в S3 - это верный ответ, но несколько на другой вопрос.

Answer 5

[xmoonlight]

Странно как! Все прочитали вопрос и никто даже не заметил!

встала задача загрузки на сайт документов для верификации пользователей

Крайне косячная задача у вас встала! )))
Вы перепутали: "на сайт" и "через веб-страницу" )))

Ну а далее, сайт здесь вообще ни при чём!
После приёма и валидации "тела" файла (что файл с расширением pdf - это не скрипт, и т.д.), серверным скриптом из памяти сразу ПЕРЕДАЛИ через внутренний вызов внутреннего сервиса скрипта-обработчика, который производит над документом нужные действия, шифрует и кладёт его в хранилище (папку,БД, и т.д.), которое вообще никак недоступно извне.