3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2009 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
13 if (!defined("_ECRIRE_INC_VERSION")) return;
15 include_spip('inc/headers');
18 * acces aux documents joints securise
19 * verifie soit que le demandeur est authentifie
20 * soit que le document est publie, c'est-a-dire
21 * joint a au moins 1 article, breve ou rubrique publie
24 * docrestreint.api/id/cle/file
28 function action_api_docrestreint_dist($arg=null) {
32 $arg =_request('arg');
34 $arg = explode("/",$arg);
36 // supprimer et vider les buffers qui posent des problemes de memory limit
37 // http://www.php.net/manual/en/function.readfile.php#81032
38 @ini_set
("zlib.output_compression","0"); // pour permettre l'affichage au fur et a mesure
39 @ini_set
("output_buffering","off");
40 @ini_set
('implicit_flush', 1);
41 @ob_implicit_flush
(1);
42 $level = ob_get_level();
50 $id_document = intval(array_shift($arg));
51 $cle = array_shift($arg);
52 // file exige pour eviter le scan id_document par id_document
53 $f = implode("/",$arg);
57 AND $f=="test/.test") {
62 include_spip('inc/documents');
64 $file = get_spip_doc($f);
65 spip_log($file,'dbg');
67 $status = $dcc = false;
68 $dossiers_a_exclure = array('nl');
70 // securite : on refuse tout ../ ou url absolue
71 if (strpos($f,'../') !== false
72 OR preg_match(',^\w+://,', $f)) {
75 else if (!file_exists($file) OR !is_readable($file)) {
78 // Si c'est dans un sous-dossier explicitement utilisé pour autre chose que les documents
79 // (exemple : les newsletters)
80 // et bien on ne teste pas l'accès
81 elseif (preg_match('%^(' . join('|', $dossiers_a_exclure) . ')/%', $f)){
85 $where = "documents.fichier=".sql_quote(set_spip_doc($file))
86 . ($id_document ?
" AND documents.id_document=".intval($id_document): '');
87 spip_log($where,'dbg');
89 $doc = sql_fetsel("documents.id_document, documents.titre, documents.fichier, types.mime_type, types.inclus, documents.extension", "spip_documents AS documents LEFT JOIN spip_types_documents AS types ON documents.extension=types.extension",$where);
96 // ETag pour gerer le status 304
97 $ETag = md5($file . ': '. filemtime($file));
98 if (isset($_SERVER['HTTP_IF_NONE_MATCH'])
99 AND $_SERVER['HTTP_IF_NONE_MATCH'] == $ETag) {
100 http_status(304); // Not modified
104 header('ETag: '.$ETag);
108 // Verifier les droits de lecture du document
110 // en controlant la cle passee en argument si elle est dispo
111 // (perf issue : toutes les urls ont en principe cette cle fournie dans la page au moment du calcul de la page)
113 include_spip('inc/securiser_action');
114 if (!verifier_cle_action($doc['id_document'].','.$f, $cle)) {
115 spip_log("acces interdit $cle erronee");
119 // en verifiant le droit explicitement sinon, plus lent !
121 if (!function_exists("autoriser"))
122 include_spip("inc/autoriser");
123 if (!autoriser('voir', 'document', $doc['id_document'])) {
125 spip_log("acces interdit $cle erronee");
136 include_spip('inc/minipres');
137 echo minipres("","","",true);
142 include_spip('inc/minipres');
143 echo minipres(_T('erreur').' 404',
144 _T('medias:info_document_indisponible'),"",true);
148 header("Content-Type: ". $doc['mime_type']);
149 // pour les images ne pas passer en attachment
150 // sinon, lorsqu'on pointe directement sur leur adresse,
151 // le navigateur les downloade au lieu de les afficher
153 if ($doc['inclus']=='non') {
155 $f = basename($file);
156 // ce content-type est necessaire pour eviter des corruptions de zip dans ie6
157 header('Content-Type: application/octet-stream');
159 header("Content-Disposition: attachment; filename=\"$f\";");
160 header("Content-Transfer-Encoding: binary");
162 // fix for IE catching or PHP bug issue
163 header("Pragma: public");
164 header("Expires: 0"); // set expiration time
165 header("Cache-Control: must-revalidate, post-check=0, pre-check=0");
169 header("Expires: 3600"); // set expiration time
172 if ($cl = filesize($file))
173 header("Content-Length: ". $cl);