$path_parts = pathinfo($archivo);
$directory = $path_parts["dirname"];

$root = explode ( DIRECTORY_SEPARATOR, realpath ( dirname ( __FILE__ ) ) );

if (! is_dir ( $directory )) {
die ( “Ubicación invalida.” );
}

$request = explode ( DIRECTORY_SEPARATOR, realpath ( $directory ) );

empty ( $request [0] ) ? array_shift ( $request ) : $request;
empty ( $root [0] ) ? array_shift ( $root ) : $root;

if (count ( array_diff_assoc ( $root, $request ) ) > 0) {
die ( “Ubicación invalida.” );
}

Lo otro que me resultó útil fue modificar el case de este código (http://us2.php.net/manual/en/function.header.php#102175) de manera que el default tirara un die ( “Archivo invalido.” ); para evitar extensiones no deseadas..

Saludos

Yo creo que la razon de no usar el “@” es bastante simple, pues el desarrollo de aplicaciones requieren “debug” para detectar problemas y errores, existe un “bit” para activar y desactivar los errores, se puede hacer por el php.ini, por .htaccess o bien desde el mismo codigo php, si queremos quitar los errores simplemente se desactiva la muestra de errores. Si usamos las “@” para ocultar errores, cuando queramos activar y desactivar los errores tendriamos que editar todo el codigo fuente para agregar o quitar las @ de cada metodo o funcion que utilicemos.

saludos

También se me ocurre que podriamos tener en la carpeta (o carpetas) desde la que permitimos la descarga un fichero del tipo “fichero.txt_descarga” (un fichero vacio por ejemplo) para indicar si se puede descargar o no, por ejemplo, si queremos descargar
$folder = “archivos/”;
$archivo = “docu.pdf”;
$enlace = “archivos/docu.pdf”;
$verificacion =”archivos/docu.pdf_descarga”
if (file_exists($verificacion)&&file_exists($enlace))
{ @readfile ($enlace); }

Es una dia, tal vez algo cutrecilla pero pienso que efectiva ya que si intentan descargar el /etc/passwd jamas existira el fichero /etc/passwd_descargar (si existe es que nos han vulnerado el servidor por otro lado ;D )

Pero sin .htaccess, sino con php, por ej cuando validas si la sesión no está activa en un php. Validar que la sesión no vea contenido de un directorio si no está activa.
Nosé si se puede con php.

function safe($value){
return mysql_real_escape_string($value);
}

Then, when I am using my code, I simply use:

$name = safe($_POST["name"]);
$password = safe($_POST["password"]);

Then, when I am using my code, I simply use:

Sobre lo que dices en tu comentario anterior, pues si, tienes razon, pero yo solo busco “encaminar” para que encuentren el mejor metodo de validacion segun sus requerimientos.
Es cierto lo que dices de que no se puede confiar en los parametros de entrada del usuario (como el ID), pero lo que busco yo es que no puedan hacer directory transversal, lfi o rfi

saludos!

Sobre lo que preguntas.. proteger un directorio de qe forma? Puedes hacerlo por el htaccess.

saludos