Как разрешить доступ к файлам в WordPress без плагинов

Автор: Руслан Фомин | Опубликовано: 05.02.2026

В WordPress часто возникает необходимость контролировать доступ к различным файлам, будь то загружаемые пользователями документы, медиафайлы или файлы конфигурации. В этой статье мы разберём, как настроить доступ к файлам в WordPress без использования плагинов, используя стандартные средства PHP и возможности самого движка. Это позволит повысить безопасность и гибкость сайта, а также избежать зависимости от стороннего ПО.

Почему нужно контролировать доступ к файлам в WordPress

По умолчанию WordPress хранит загруженные медиафайлы в папке wp-content/uploads, которая доступна напрямую через URL. Это удобно, но не всегда безопасно. Например, если вы хотите ограничить доступ к определённым файлам только зарегистрированным пользователям или определённым ролям, стандартная файловая структура и права доступа не позволяют этого сделать.

Контроль доступа особенно важен, если вы реализуете платный контент, защищённое скачивание или хотите скрыть внутренние документы от неавторизованных посетителей.

Использование плагинов для решения этой задачи удобно, но иногда нежелательно из-за нагрузки, зависимости от обновлений и возможных конфликтов. Поэтому рассмотрим, как реализовать такую функциональность самостоятельно.

Настройка .htaccess для блокировки прямого доступа

Первый шаг — ограничить прямой доступ к папке с файлами, которые должны быть защищены. Для этого используем файл .htaccess, если ваш сервер работает на Apache.

Например, создайте отдельную папку protected-files внутри wp-content/uploads и добавьте туда файл .htaccess со следующим содержимым:

Order deny,allow
Deny from all

Этот код запрещает прямой доступ ко всем файлам в этой папке. Теперь файлы можно будет отдавать только через PHP скрипт, который проверит права доступа.

Если вы используете Nginx, то в конфигурации сервера нужно добавить правило для запрета доступа к этой папке.

Пример для Nginx:

location /wp-content/uploads/protected-files/ {
    deny all;
    return 403;
}

Создание PHP-скрипта для безопасной отдачи файлов

Теперь, когда прямой доступ закрыт, нужно реализовать механизм отдачи файлов через PHP. Этот скрипт будет проверять, авторизован ли пользователь и имеет ли он право на доступ к конкретному файлу.

Создадим файл file-proxy.php в корне темы или в отдельной папке с таким кодом:

<?php
// Проверяем, авторизован ли пользователь
if (!is_user_logged_in()) {
    auth_redirect(); // Перенаправляем на страницу входа
    exit;
}

// Получаем имя файла из параметров запроса
$file = basename($_GET['file']);
$file_path = ABSPATH . 'wp-content/uploads/protected-files/' . $file;

// Проверяем, существует ли файл
if (!file_exists($file_path)) {
    status_header(404);
    echo 'Файл не найден';
    exit;
}

// Здесь можно добавить дополнительные проверки ролей и прав доступа
// Например, проверим, что у пользователя есть роль 'subscriber'
if (!current_user_can('read')) {
    status_header(403);
    echo 'Доступ запрещён';
    exit;
}

// Определяем MIME-тип
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime_type = finfo_file($finfo, $file_path);
finfo_close($finfo);

// Отдаём файл
header('Content-Type: ' . $mime_type);
header('Content-Disposition: attachment; filename="' . $file . '"');
header('Content-Length: ' . filesize($file_path));
readfile($file_path);
exit;
?>

Теперь вы можете ссылаться на файлы так: https://example.com/wp-content/themes/yourtheme/file-proxy.php?file=example.pdf. Этот скрипт проверит права пользователя и отдаст файл, если доступ разрешён.

Пример использования функции wphelper_get_protected_file_link()

Чтобы упростить генерацию ссылок на защищённые файлы, создадим в functions.php вашей темы или в собственном плагине функцию:

function wphelper_get_protected_file_link($filename) {
    return get_stylesheet_directory_uri() . '/file-proxy.php?file=' . rawurlencode($filename);
}

Использовать её можно так:

<?php
$file_url = wphelper_get_protected_file_link('secret-document.pdf');
echo '<a href="' . esc_url($file_url) . '">Скачать защищённый файл</a>';
?>

Дополнительные рекомендации по безопасности

1. Проверяйте имена файлов. Используйте basename() и фильтруйте входные данные, чтобы избежать атак типа Directory Traversal.

2. Ограничьте типы файлов, которые можно отдавать через скрипт, если это необходимо.

3. Логируйте попытки доступа к файлам, чтобы отслеживать возможные атаки.

4. Если вы хотите более тонкую настройку прав, можно расширить функцию проверки, используя метаданные файлов или пользовательские поля.

Альтернатива: использование плагина Clearfy Pro для управления доступом

Если вы хотите получить удобный интерфейс и расширенные возможности, обратите внимание на плагин Clearfy Pro. Он позволяет гибко настраивать доступ к файлам, оптимизировать безопасность и фильтровать запросы без сложного кодирования.

Тем не менее, описанный выше метод с собственным скриптом остаётся актуальным для тех, кто предпочитает минимализм и контроль над каждой строкой кода.