वीडियो और उपशीर्षक · डायरेक्ट मीडिया डाउनलोडर
हस्ताक्षरित और समाप्त होने वाले URL: क्यों एक सीधा लिंक कल काम करना बंद कर सकता है
· पेजभूमि
URL सुरक्षा डाउनलोड
कई प्रत्यक्ष लिंक अपनी क्वेरी स्ट्रिंग में हस्ताक्षर और समाप्ति समय रखते हैं। यह पोस्ट बताती है कि निर्धारित URL कैसे काम करते हैं, सीडीएन और स्टोरेज सेवाएं उनका उपयोग क्यों करती हैं और किसी के विफल होने से पहले उसे कैसे पहचाना जाए।
लिंक शुक्रवार को काम करता है और सोमवार को एक त्रुटि देता है - अधिकांश 'टूटे हुए' प्रत्यक्ष लिंक के पीछे का पैटर्न
एक लिंक शुक्रवार को सफल हो सकता है और सोमवार को फ़ाइल को स्थानांतरित किए बिना HTTP त्रुटि लौटा सकता है। क्वेरी में समय-सीमित प्राधिकरण हो सकता है जिसकी वैधता प्रयासों के बीच समाप्त हो जाती है।
ToolAcre पठनीय गैर-सफलता स्थिति की रिपोर्ट करता है और नोट करता है कि पता समाप्त हो गया है, स्थानांतरित हो गया है, या साइन-इन की आवश्यकता है। जब HTTP प्रतिक्रिया उपलब्ध होती है तो यह समाप्ति को CORS के रूप में दोबारा परिभाषित नहीं करता है। बड़े स्थानांतरण विशेष रूप से इस समय अंतराल के प्रति संवेदनशील होते हैं क्योंकि एक वैध लिंक साझा किए जाने के बाद समाप्त हो सकता है, लेकिन प्राप्तकर्ता द्वारा इसका उपयोग शुरू करने या समाप्त करने से पहले। लंबी रिकॉर्डिंग इस समय के जोखिम को बढ़ा देती है क्योंकि साझा करने, शुरू करने और स्थानांतरण पूरा करने के बीच प्राधिकरण समाप्त हो सकता है।
एक हस्ताक्षरित URL क्या है - एक सामान्य फ़ाइल पथ और एक हस्ताक्षर, एक समाप्ति और कभी-कभी एक अनुमत IP, सभी क्वेरी स्ट्रिंग में
एक हस्ताक्षरित URL प्राधिकरण को सत्यापित करने के लिए सेवा प्रणाली द्वारा उपयोग किए गए मानों के साथ एक सामान्य संसाधन पथ को जोड़ता है। ये हस्ताक्षर, समाप्ति, क्रेडेंशियल दायरा, नीति या ग्राहक प्रतिबंध का प्रतिनिधित्व कर सकते हैं।
पैरामीटर नाम और एन्कोडिंग प्रदाता-विशिष्ट हैं। ब्राउज़र उन्हें क्वेरी डेटा के रूप में मानता है, जबकि सर्वर यह तय करता है कि अनुरोध समय पर उनका संयोजन वैध है या नहीं। कुछ योजनाएं विधि या हेडर को भी बांधती हैं, इसलिए एक प्रदाता GET को अनुमति दे सकता है, फिर भी HEAD को अस्वीकार कर सकता है; केवल इसका प्रलेखित हस्ताक्षर एल्गोरिथ्म ही उस परिणाम की व्याख्या कर सकता है। कुछ प्रदाता सत्यापन में विधि या चयनित हेडर शामिल करते हैं, जिससे GET की अनुमति मिलती है जबकि उसी दृश्यमान क्वेरी के तहत HEAD को अस्वीकार कर दिया जाता है।
भंडारण सेवाएँ और सीडीएन उनका उपयोग क्यों करते हैं - एक निजी फ़ाइल को सार्वजनिक किए बिना या लॉगिन की आवश्यकता के बिना साझा करना
भंडारण सेवाएँ और सीडीएन किसी निजी वस्तु को उसके पथ को स्थायी रूप से सार्वजनिक किए बिना या प्रत्येक डाउनलोड में एक इंटरैक्टिव लॉगिन संलग्न किए बिना साझा करने के लिए हस्ताक्षरित पते का उपयोग करते हैं।
इसलिए लाइव लिंक का कब्ज़ा संवेदनशील हो सकता है। इसे अविश्वसनीय रिले में चिपकाने, स्क्रीनशॉट प्रकाशित करने या अधिकृत वर्कफ़्लो से परे साझा नोट्स में छोड़ने से बचें। यदि कोई लिंक लीक होता है तो कम वैधता जोखिम को कम कर देती है, जबकि निरस्तीकरण और एक्सेस लॉग डाउनलोड किए गए URL के कार्यों के बजाय प्रदाता की क्षमताएं बने रहते हैं। अल्प वैधता रिसाव से जोखिम को कम करती है, जबकि निरस्तीकरण और एक्सेस लॉगिंग जारीकर्ता प्रदाता की क्षमताएं बनी रहती हैं।
क्वेरी स्ट्रिंग को पढ़ना - सामान्य URL आकृतियों में समाप्ति टाइमस्टैम्प और हस्ताक्षर पैरामीटर का पता लगाना
समाप्ति, हस्ताक्षर, टोकन, नीति, या विक्रेता-उपसर्ग प्रमाणीकरण का सुझाव देने वाले क्वेरी नाम देखें। एक युग-जैसा मूल्य एक समय सीमा का प्रतिनिधित्व कर सकता है, लेकिन इसे परिवर्तित करने से पहले दस्तावेज़ीकरण की आवश्यकता होती है।
ToolAcre का नॉर्मलाइज़र जानबूझकर `token`, `expires`, `signature` और X-Amz-शैली फ़ील्ड रखता है। यह केवल ज्ञात एनालिटिक्स-आकार वाली कुंजियों को हटाता है क्योंकि प्राधिकरण को अलग करने से संबोधित अनुरोध बदल जाएगा। अपरिचित मापदंडों को लापरवाही से डिकोड या हटाएं नहीं, क्योंकि एक अपारदर्शी दिखने वाला मान हस्ताक्षरित विहित अनुरोध का हिस्सा हो सकता है, भले ही उसका नाम स्पष्ट न हो। अज्ञात पैरामीटर विहित हस्ताक्षर में भाग ले सकते हैं, भले ही उनके नाम सुरक्षा-संबंधित न दिखें, इसलिए उन्हें अपरिवर्तित रखें।
कार्यान्वित उदाहरण: एक टाइमस्टैम्प्ड स्टोरेज लिंक - यह पता लगाना कि यह कब समाप्त होता है और उसके बाद त्रुटि कैसी दिखती है
मान लीजिए कि प्रदाता दस्तावेज़ एक समाप्ति पैरामीटर को युग सेकंड के रूप में परिभाषित करता है। इसे उस दस्तावेज़ीकृत नियम के तहत परिवर्तित करें और एक बड़ा स्थानांतरण शुरू करने से पहले वर्तमान UTC समय के साथ इसकी तुलना करें।
समय सीमा के बाद, होस्ट 403, कोई अन्य त्रुटि, या रीडायरेक्ट लौटा सकता है; कोई सार्वभौमिक प्रतिक्रिया आकार नहीं है। ठोस सबूत उस प्रदाता द्वारा दी गई स्थिति और संस्था है, न कि कोई आविष्कृत संदेश। यदि होस्ट एक संरचित त्रुटि निकाय प्रदान करता है, तो इसे बनाने वाले हस्ताक्षरित पते को प्रकाशित किए बिना इसे मालिक के लिए सुरक्षित रखें। स्वामी के लिए किसी भी संरचित त्रुटि प्रतिक्रिया को व्यापक प्रकटीकरण से उत्पन्न होने वाले हस्ताक्षरित पते की सुरक्षा करते हुए रखें।
इसमें क्या शामिल नहीं है - एक लिंक को नवीनीकृत करना, जो केवल फ़ाइल का स्वामी ही कर सकता है
डाउनलोडर किसी पते का नवीनीकरण, इस्तीफा, ताज़ा या विस्तार नहीं कर सकता है। केवल स्रोत या उसके अधिकृत साझाकरण सिस्टम को नियंत्रित करने वाली पार्टी ही कोई अन्य वैध लिंक जारी कर सकती है।
यह साइन-इन सत्र को भी संरक्षित नहीं करता है क्योंकि क्रेडेंशियल छोड़े गए हैं। यदि एक्सेस के लिए URL प्राधिकरण के बजाय खाता कुकीज़ की आवश्यकता होती है, तो फ़ाइल इस उत्पाद के डिज़ाइन से बाहर है। टाइमस्टैम्प को मैन्युअल रूप से बदलने से अधिकांश हस्ताक्षर अमान्य हो जाते हैं क्योंकि समय सीमा सर्वर सत्यापन में भाग लेती है; वह कोई विस्तार तंत्र नहीं है. टाइमस्टैम्प बदलने से आम तौर पर सत्यापन अमान्य हो जाता है क्योंकि समय सीमा स्वयं संपादन योग्य मेटाडेटा के रूप में कार्य करने के बजाय हस्ताक्षर में योगदान करती है।
टेकअवे: लिंक लाइव होने पर डाउनलोड करें - कैसे डायरेक्ट मीडिया डाउनलोडर की URL जांच और घोषणा एक समाप्त हो रहे लिंक को फिट करती है
डाउनलोड तब करें जब कोई अधिकृत लिंक लाइव हो और फ़ाइल ब्राउज़र वर्कफ़्लो में फिट हो। स्थानीय सत्यापन पुष्टि करता है कि प्रारंभिक पता योजना और मेजबान नीति से मेल खाता है, फिर स्पष्ट अनुरोध मूल को उसके हस्ताक्षर का मूल्यांकन करने देता है।
मेज़बान की घोषणा से यह पता नहीं चलता कि टोकन वैध रहेगा या नहीं। चेक लिंक HEAD के साथ पहुंच योग्यता का परीक्षण कर सकता है, लेकिन कुछ प्रदाता HEAD को GET से अलग तरीके से संभालते हैं, इसलिए यह नवीनीकरण या गारंटी नहीं है। अभिलेखीय वर्कफ़्लो के लिए, स्थानांतरण विंडो के साथ लिंक जारी करने का समन्वय करें और प्रेषक की आधिकारिक प्रतिलिपि को हटाने से पहले सहेजे गए बाइट्स को सत्यापित करें। नियोजित स्थानांतरण विंडो के साथ जारी करने का समन्वय करें, फिर प्रेषक की आधिकारिक प्रति को सेवानिवृत्त करने से पहले पूर्ण संपत्ति को सत्यापित करें।