[{"data":1,"prerenderedAt":527},["ShallowReactive",2],{"article-laravel-protect-resource":3},{"id":4,"title":5,"body":6,"category":513,"createdAt":515,"description":516,"extension":517,"index":518,"meta":519,"navigation":301,"path":520,"publish":301,"seo":521,"series":518,"seriesTitle":518,"stem":522,"tag":523,"thumbnail":525,"updatedAt":518,"__hash__":526},"articles\u002Farticles\u002Flaravel-protect-resource.md","Laravelでログインしたユーザーのみ読み取れる画像・アセットを設定する方法",{"type":7,"value":8,"toc":506},"minimark",[9,13,25,28,38,44,48,51,60,63,93,122,125,134,137,140,172,175,189,196,199,206,209,216,247,254,281,284,287,367,380,407,422,439,442,445,448,454,489,499,502],[10,11,12],"p",{},"こんにちはjunです。Laravel製のシステムにてWebマニュアルを作成していた時、「あれ？マニュルはログインユーザーのみ見れる様にするけど、画像などはどうすればいいんだ？」という事態がありました。",[10,14,15,16,20,21,24],{},"Laravelはルートを定義し、その際に認証を設けることができます。ただし静的な画像（今回の様なあらかじめセットしておくマニュアル画像など）を配置する場合は",[17,18,19],"code",{},"public","配下または、",[17,22,23],{},"storage\u002Fpublic","配下に置くことが多いと思います。しかしそれらのディレクトリは名の通りいかなるアクセスに対してリクエストを許可しています。",[10,26,27],{},"そのため",[29,30,31,35],"ul",{},[32,33,34],"li",{},"ログインをしないと見れない画像やアセット",[32,36,37],{},"アクセスを制限したい画像やアセット",[10,39,40,41,43],{},"を実装したい時は単純に",[17,42,19],{},"配下に置くことはできません。この場合Laravelではコントローラーを使用して、アセットのリクエストに対して一度認証のロジックをかける必要があります。普段Laravelを使用していると、特定のURLとそのビューに対する認証はルートを定義するだけで簡単に設定できます。しかしビュー以外のアセットファイルの場合はWebサーバーとLaravelの仕組みを少し理解している必要ががります。今回はその様な保護したアセットルートの設定方法を解説しようと思います。",[45,46,47],"h2",{"id":47},"概要",[10,49,50],{},"Laravelで構築されたURLで指定のビューやファイルをレスポンスとして返す時２通りの処理方法があります。",[52,53,54,57],"ol",{},[32,55,56],{},"ドキュメントルート配下にリクエストで示されたファイルがある場合、それを返す。（webサーバー）",[32,58,59],{},"ドキュメントルートにない場合、Route.phpで定義したルートを照らし合わせ、設定したビューやファイルを返す。（webサーバー+PHP）",[10,61,62],{},"「２」の方はよくわかると思います。例えば以下の様なルートを定義した時",[64,65,71],"pre",{"className":66,"code":67,"filename":68,"language":69,"meta":70,"style":70},"language-php shiki shiki-themes material-theme-ocean","Route::get('\u002Ftest', function () {\n    return view('welcome');\n});\n","route.php","php","",[17,72,73,81,87],{"__ignoreMap":70},[74,75,78],"span",{"class":76,"line":77},"line",1,[74,79,80],{},"Route::get('\u002Ftest', function () {\n",[74,82,84],{"class":76,"line":83},2,[74,85,86],{},"    return view('welcome');\n",[74,88,90],{"class":76,"line":89},3,[74,91,92],{},"});\n",[10,94,95,98,99,102,103,105,106,109,110,113,114,117,118,121],{},[17,96,97],{},"https:\u002F\u002Fexample.com\u002Ftest","というURLにアクセスすると",[17,100,101],{},"view('welcome')","で定義したHTML（画面）がレスポンスとして表示されます。一方「１」の方はというと例えば",[17,104,19],{},"配下に置いた",[17,107,108],{},"css",",",[17,111,112],{},"js","など静的なファイルがあげられます。例えば",[17,115,116],{},"https:\u002F\u002Fexample.com\u002Fcss\u002Fstyle.css","の場合、webサーバーは",[17,119,120],{},"public\u002Fcss\u002Fstyle.css","があればそれをレスポンスとして返します。",[10,123,124],{},"両者の違いはwebサーバーだけで完結しているか、PHP（Laravel）も動かしているかです。これはpublic配下の.htaccessを見ると理解できます。",[64,126,132],{"className":127,"code":129,"filename":130,"language":131,"meta":70},[128],"language-text","\u003CIfModule mod_rewrite.c>\n    # Send Requests To Front Controller...\n    RewriteCond %{REQUEST_FILENAME} !-d\n    RewriteCond %{REQUEST_FILENAME} !-f\n    RewriteRule ^ index.php [L]\n\u003C\u002FIfModule>\n",".htaccess","text",[17,133,129],{"__ignoreMap":70},[10,135,136],{},"一部省略していますが、重要なのはこの箇所です。これは「もし、リクエストしたディレクトリおよびファイルがない場合、index.phpを実行する」という意味です。つまりLaravelが置かれたwebサーバーでは、まず「リクエストされたファイルが静的に置かれているかをチェック」そしてもしない場合は「index.phpを実行してLaravelが動的にルートに対するレスポンスを作成する」ということが行われています。",[10,138,139],{},"Apache側で静的ファイルに対するアクセスを設定していない場合、基本的にリクエストに合致するファイルがある場合はレスポンスしてしまいます。今回の様な保護したファイル、つまりLaravelの認証などを通してファイルを返すためには、独自のルートを定義してレスポンスする必要があります。",[141,142,146,147,150,151,154,155,157,158,161,162],"div",{"className":143},[144,145],"alert","alert-info","\nLaravelではアップロードされたファイルは",[17,148,149],{},"storage\u002Fapp\u002Fpublic"," 配下に配置し、そのstorageファイルへのリクエストは上記のwebサーバーのみで処理できます。storageディレクトリがpublicとは別なのになぜできるのか？それはシンボリックリンクを張っているからです。構築時に",[17,152,153],{},"php artisan storage:link","というおまじないを唱えたと思います。これはpublic配下に",[17,156,149],{},"に連絡する",[17,159,160],{},"storage","というシンボリックリンクを配置する処理を行っています。\n",[10,163,164,165,168,169,171],{},"実際にpublic配下にstorageというものがあり、Vscodeでは矢印マークが加わっているのが分かります。ls -lを実行してみると",[17,166,167],{},"storage -> \u002Fvar\u002Fwww\u002Fhtml\u002Fstorage\u002Fapp\u002Fpublic","という風に表示されます（私の環境の場合）。ディレクトリとして離れていても、シンボリックリンクを貼ることで",[17,170,149],{},"配下をwebサーバーが走査することができる様にしています。",[10,173,174],{},"今回のような保護したアセットファイルルートを設定するために",[52,176,177,180,183,186],{},[32,178,179],{},"専用のディレクトリを作成",[32,181,182],{},"読み取りルートの定義",[32,184,185],{},"ファイルの取得処理",[32,187,188],{},"レスポンス処理",[10,190,191,192,195],{},"上記のプログラムを作成します。今回は「ログインしたユーザーが見れるwebマニュアルの画像」ということなので、",[17,193,194],{},"resources","配下にファイルを置いておくことにします。一応後でstorageディレクトリに保護ファイルを配置・取得する方法も記述します。",[45,197,198],{"id":198},"ディレクトリの作成",[10,200,201,202,205],{},"まずは専用のディレクトリを作成します。今回は静的に置いておくので",[17,203,204],{},"resources\u002Fprotected","という保護アセットファイルディレクトリを作っておきます。リクエストがあった場合はこのディレクトリからファイルを取得します。",[45,207,208],{"id":208},"ルートを定義する",[10,210,211,212,215],{},"それではルートを定義します。",[17,213,214],{},"routes\u002Fweb.php","にて以下の様なルートを設定。",[64,217,219],{"className":66,"code":218,"filename":214,"language":69,"meta":70,"style":70},"Route::group(['middleware' => 'auth'], function () {\n    Route::get('\u002Fprotected\u002F{path?}', function (Request $request,$path='') {\n        \u002F\u002F 後で書きます..\n    })->where('path', '.*');\n});\n",[17,220,221,226,231,236,242],{"__ignoreMap":70},[74,222,223],{"class":76,"line":77},[74,224,225],{},"Route::group(['middleware' => 'auth'], function () {\n",[74,227,228],{"class":76,"line":83},[74,229,230],{},"    Route::get('\u002Fprotected\u002F{path?}', function (Request $request,$path='') {\n",[74,232,233],{"class":76,"line":89},[74,234,235],{},"        \u002F\u002F 後で書きます..\n",[74,237,239],{"class":76,"line":238},4,[74,240,241],{},"    })->where('path', '.*');\n",[74,243,245],{"class":76,"line":244},5,[74,246,92],{},[10,248,249,250,253],{},"authミドルウェアでグルーピングをして",[17,251,252],{},"protected","配下のルートを保護します。",[10,255,256,259,260,109,263,266,267,269,270,273,274,109,277,280],{},[17,257,258],{},"{path?}","は任意の記述を意味します。つまり",[17,261,262],{},"\u002Fprotected\u002Fsecret.jpg",[17,264,265],{},"\u002Fprotected\u002Fmanual\u002Fprivate.png","などのルートにをキャッチすることができます。そして",[17,268,258],{},"パラメータはコールバック（コントローラー）に第二引数として使用できます。先程の例のパスの場合、",[17,271,272],{},"$path","は",[17,275,276],{},"secret.jpg",[17,278,279],{},"manual\u002Fprivate.png","となります。この値は後でファイルの取得に使用します。ちなみに今回はルートに処理内容を記述しますが、プロジェクトによっては複雑な認証処理を実装する場合はコントローラーに記述しても大丈夫です。",[45,282,283],{"id":283},"ファイルの取得とレスポンスを行う",[10,285,286],{},"ではファイルの取得の処理を記述します。",[64,288,290],{"className":66,"code":289,"filename":214,"language":69,"meta":70,"style":70},"use Illuminate\\Support\\Facades\\File;\n\nRoute::group(['middleware' => 'auth'], function () {\n    Route::get('\u002Fprotected\u002F{path?}', function (Request $request,$path='') {\n        if($path==='') abort(404);\n\n        $rp = resource_path('protected\u002F'.$path);\n        if(File::exists($rp)){\n            return response()->file($rp);\n        }else{\n            abort(404);\n        }\n    })->where('path', '.*');\n});\n",[17,291,292,297,303,307,311,316,321,327,333,339,345,351,357,362],{"__ignoreMap":70},[74,293,294],{"class":76,"line":77},[74,295,296],{},"use Illuminate\\Support\\Facades\\File;\n",[74,298,299],{"class":76,"line":83},[74,300,302],{"emptyLinePlaceholder":301},true,"\n",[74,304,305],{"class":76,"line":89},[74,306,225],{},[74,308,309],{"class":76,"line":238},[74,310,230],{},[74,312,313],{"class":76,"line":244},[74,314,315],{},"        if($path==='') abort(404);\n",[74,317,319],{"class":76,"line":318},6,[74,320,302],{"emptyLinePlaceholder":301},[74,322,324],{"class":76,"line":323},7,[74,325,326],{},"        $rp = resource_path('protected\u002F'.$path);\n",[74,328,330],{"class":76,"line":329},8,[74,331,332],{},"        if(File::exists($rp)){\n",[74,334,336],{"class":76,"line":335},9,[74,337,338],{},"            return response()->file($rp);\n",[74,340,342],{"class":76,"line":341},10,[74,343,344],{},"        }else{\n",[74,346,348],{"class":76,"line":347},11,[74,349,350],{},"            abort(404);\n",[74,352,354],{"class":76,"line":353},12,[74,355,356],{},"        }\n",[74,358,360],{"class":76,"line":359},13,[74,361,241],{},[74,363,365],{"class":76,"line":364},14,[74,366,92],{},[10,368,369,370,372,373,376,377,379],{},"最初に",[17,371,272],{},"がない場合は404にアボートします。そして何かしらファイルが指定された場合は",[17,374,375],{},"resource_path('protected\u002F'.$path)","にて",[17,378,204],{},"配下のファイルパスを取得します。",[141,381,384,385,388,389,392,393,396,397,400,401,273,403,406],{"className":382},[144,383],"alert-danger","\nwebサーバーでなくPHP（Laravel）にてユーザーからの入力値（リクエストパス）を用いてファイルの取得をする場合、PHPの",[17,386,387],{},"file_get_contents()","は使用せずLaravelの",[17,390,391],{},"resource_path()","や",[17,394,395],{},"storage_path","を使用し、さらにFileファサード、",[17,398,399],{},"file()","メソッドを使用しましょう。",[17,402,387],{},[17,404,405],{},"..\u002F","といった記述は文字列でなく、パスとして認識してしまい想定しないディレクトリのファイルにがブラウザを通じて取得される可能性があります。このような脆弱性をディレクトリトラバーサルといいます。Laravelのファイル取得系のメソッドはその辺は対策済みなので、基本的にはLaravelのメソッドを使用しましょう。\n",[10,408,409,410,413,414,417,418,421],{},"ファイルパスを作成したら",[17,411,412],{},"File::exists()"," を使用してファイルが存在するかをチェックします。存在しないファイルをfile()パスで使用すると",[17,415,416],{},"FileNotFoundException","が発生してしまいます。例外処理でやってもいいのですが、",[17,419,420],{},"response","メソッドを呼んでいるので念のためあらかじめチェックしておきます。",[10,423,424,425,428,429,431,432,434,435,438],{},"ファイルがある場合は ",[17,426,427],{},"response()->file();","を使用して対象の",[17,430,204],{},"配下のファイルをレスポンスとして返します。ない場合は404へアボートします。",[17,433,399],{},"メソッドを使用することで拡張子から",[17,436,437],{},"content-type","を設定してくれるそうでCSVだろうがHTMLでもMP4でも問題なくレスポンスしてくれます。",[10,440,441],{},"ルート自体はLaravelのミドルウェアを使用することでファイルを保護し、任意のファイルパスを使用して認証が通ればファイルを取得することができる様になります。",[45,443,444],{"id":444},"storageでやる方法",[10,446,447],{},"resourcesは基本的に開発者が静的にファイルを置く場合に使用します。ユーザーが自由にアップロードして、保護しながら呼び出したい時はstorageディレクトリを使用します。ファイルの取得と保護は上記とほぼ同じですが、storageの場合は少しcconfigの設定を行います。",[10,449,450,453],{},[17,451,452],{},"config\u002Ffilesystem.php","にて以下の様に保護storageディレクトリを定義します。",[64,455,457],{"className":66,"code":456,"filename":452,"language":69,"meta":70,"style":70},"'protected' => [\n    'driver' => 'local',\n    'root' => storage_path('app\u002Fprotected'),\n    'url' => env('APP_URL') . '\u002Fstorage',\n    'visibility' => 'private',\n],\n\n",[17,458,459,464,469,474,479,484],{"__ignoreMap":70},[74,460,461],{"class":76,"line":77},[74,462,463],{},"'protected' => [\n",[74,465,466],{"class":76,"line":83},[74,467,468],{},"    'driver' => 'local',\n",[74,470,471],{"class":76,"line":89},[74,472,473],{},"    'root' => storage_path('app\u002Fprotected'),\n",[74,475,476],{"class":76,"line":238},[74,477,478],{},"    'url' => env('APP_URL') . '\u002Fstorage',\n",[74,480,481],{"class":76,"line":244},[74,482,483],{},"    'visibility' => 'private',\n",[74,485,486],{"class":76,"line":318},[74,487,488],{},"],\n",[10,490,491,492,495,496,498],{},"こうすることで",[17,493,494],{},"Storage::disk('protected')->path()","を用いて対象ファイルパスを取得することができる様になります。ファイルストレージはローカルでなくS3など外部のものを使用することもあるので、この様に設定ファイルで定義しておくといいです。storageにprotectedディレクトリを作成した後、あとはルートを定義して",[17,497,494],{},"を用いてリクエストされたファイルパスを取得し、存在チェックをしてレスポンスで返せばOKです。",[10,500,501],{},"今回は簡単なauthミドルウェアですが、権限のロジックを組み込むことで所有者のリクエストのみに見せたり、特定の人のみに見せるといった芸当ができそうです。ただしwebサーバーの静的な配信でなく、ファイルの取得にPHPを動かすことになるので大量配信の場合はパフォーマンスはちょっと心配かもしません。",[503,504,505],"style",{},"html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}",{"title":70,"searchDepth":89,"depth":89,"links":507},[508,509,510,511,512],{"id":47,"depth":83,"text":47},{"id":198,"depth":83,"text":198},{"id":208,"depth":83,"text":208},{"id":283,"depth":83,"text":283},{"id":444,"depth":83,"text":444},[514],"devstack","2022-03-26","画像、アセットにログインしたユーザーのみリクエストを制限する","md",null,{},"\u002Farticles\u002Flaravel-protect-resource",{"title":5,"description":516},"articles\u002Flaravel-protect-resource",[524,69],"laravel","_common\u002Flaravel.png","f9NQ8_uhPD5HoW5tFBCWKT-Mw4ExKqCgzTqezzlXg_w",1780987146440]