最安全的方式来存储上传的文件

Question

我存储在web目录上传的文件：

//src/Acme/CocoBundle/Entity/CocoFromTheNorth.php 
/** 
* @ORM\Column(type="string", length=255, nullable=true) 
*/ 
public $path; 

protected function getUploadRootDir() 
{ 
    return __DIR__.'/../../../../web/'.$this->getUploadDir(); 
} 

protected function getUploadDir() 
{ 

    return 'uploads/documents'; 
} 

这是一个好的做法呢？将上传的文件保存在Web目录之外不是更好吗，这样它们就不能被用户直接访问？

我是否认为最好的方法是将上传的文件存储在Web根目录之外？那么最好的地方在哪里？ 或者我如何配置Web服务器拒绝访问上传目录？

Answer 1

在使用PHP建立访问权限之后，首选将上传的文件保存在Web目录之外，并使用X-SendFile来提供这些文件。

我已经概述类似的东西在这里：How to securely store files on a server

在这里：Caching HTTP responses when they are dynamically created by PHP