x5附件下載權(quán)限測試反饋

imslc

疑似x5的附件下載權(quán)限失效，開貼測試一下。
因為我的用戶組沒有設(shè)置附件下載出售的權(quán)限，因此只能在此條件下發(fā)布。
BUG：復(fù)制附件下載地址，在其它地方不用登錄就可以隨意下載。而不是 抱歉，您尚未登錄，沒有權(quán)限下載本附件



Rename 2.2.rar (2.43 MB, 下載次數(shù): 191)

2026-1-23 18:31 上傳

點擊文件名下載附件

比如這個附件的地址http://m.yu-jie.cn/forum.php?mod=attachment&aid=Mzg4Nzl8ZDU5ZTI2NjV8MTc2OTE2NDUxM3wzNzE5fDI3OTA3
復(fù)制到其它地方打開，就直接下載了。

不知道是系統(tǒng)就這么設(shè)定 還是bug，大家測試一下。

monkeye

官方?jīng)]有開附件過期開關(guān)，因此不會判斷身份和權(quán)限相關(guān)的。何況這部分邏輯沒進行過修改的

imslc

monkeye 發(fā)表于 2026-1-23 18:55
官方?jīng)]有開附件過期開關(guān)，因此不會判斷身份和權(quán)限相關(guān)的。何況這部分邏輯沒進行過修改的 ...

我的意思是您可以上傳一個下載時需要收費的附件，然后使用B賬號購買后把下載鏈接復(fù)制到一個沒有登陸過的瀏覽器里，是不是也可以直接下載附件。這個和附件鏈接過期與否問題不大。疑似是 下載判斷身份和權(quán)限失效。沒有對下載來路做出判斷
比如一個人購買了這個附件，他把下載鏈接復(fù)制到別的群里，幾百號人可以短時間內(nèi)直接下載……

游客用戶組 下載附件的權(quán)限已經(jīng)關(guān)閉，按理說，他們打開這些鏈接不應(yīng)該下載成功的。

正常應(yīng)該像這個鏈接這樣：這個鏈接是我的賬號購買附件后的下載地址,發(fā)給別人，別人應(yīng)該無法下載才對，特別是未登錄狀態(tài)。
https://bbs.pcbeta.com/forum.php?mod=attachment&aid=NDYwNzQ5MXxiMWU2MzMzMHwxNzY5MTY3Mzc0fDEwOTI4MTl8MjA2MzA3OQ%3D%3D

彈出權(quán)限不足的登陸提示

monkeye

imslc 發(fā)表于 2026-1-23 19:13
我的意思是您可以上傳一個下載時需要收費的附件，然后使用B賬號購買后把下載鏈接復(fù)制到一個沒有登陸過的瀏 ...

可以開，官方?jīng)]開而已，因為剛說的那個開關(guān)沒開

湖中沉

imslc 發(fā)表于 2026-1-23 19:13
我的意思是您可以上傳一個下載時需要收費的附件，然后使用B賬號購買后把下載鏈接復(fù)制到一個沒有登陸過的瀏 ...

要開下載鏈接過期的功能，否則一直有效自然就能被傳播了。

ysx24

建議用臨時過渡方案，禁止站外下載，等待官方完善

進入Discuz后臺→全局→附件設(shè)置

下載附件來路檢查：必須設(shè)為"是"
附件鏈接有效期：建議設(shè)置為較短時間（如1-8小時），過期后需重新生成

寶塔設(shè)置：進入網(wǎng)站→設(shè)置→防盜鏈

啟用防盜鏈，文件后綴添加?zip,rar等附件格式

關(guān)鍵設(shè)置：不要勾選"允許空Referer"（否則直接訪問鏈接不會被攔截）
白名單：
允許域名填寫您的論壇域名（如?*.yourdomain.com?）