public_html上面存储和读取图片

Question

我正在尝试保护我的 PHP 图像上传脚本，我必须跨越的最后一个障碍是使用户无法直接执行图像，但服务器仍然可以在网页中提供它们。我尝试更改文件夹的所有权和权限但无济于事，因此我尝试存储 public_html 上面的图像并将它们显示在存储在 public_html 中的页面中。

我的文件结构：

 - userimages
   image.jpg
   image2.jpg

 - public_html
   filetoserveimage.html

我尝试链接到 userimages 文件夹中的图像，如下所示：

<img src="../userimages/image.jpg">

但它不起作用。我在这里缺少什么吗？如果您有更好的建议请告诉我。我试图阻止公共用户执行他们可能上传的潜在危险文件。只是作为额外的安全措施。谢谢！

Answer 1

你想要的东西基本上是不可能的。

浏览器加载页面的方式（非常基本的意义上）是这样的：

步骤 1：下载页面。
步骤2：解析页面。
步骤 3：下载页面内容中引用的任何内容（图像、样式表、javascript 等）

每个“下载”事件都是原子的。

看起来您只想向刚刚下载了引用这些图像的页面的人提供图像。

正如 PHP Jedi 所示，您可以通过 PHP 传递文件。您可以扩展他的代码，并检查请求上的 HTTP_REFERER 以确保人们不会“仅”抓取图像。

现在，通过 PHP passthru 脚本提供每个图像的效率不高，但它可以工作。

人们想要这样做的最常见原因是避免“热链接”——当人们在其他站点上创建引用您服务器上图像的图像标签时。当他们这样做时，您会花费资源来处理其他人页面上出现的请求。

如果这就是您真正想避免的，您可以使用 mod_rewrite 来检查引用者。

可以在此处找到有关热链接/反热链接的不错的讨论

Answer 2

使用图像中继脚本！

要提供 public_html 文件夹之外的图像文件，您必须通过 php 脚本来完成。例如，制作一个 image-relay.php 来读取公共 html 之外的图像...

<?php
header('Content-Type: image/jpeg');
$_file = 'myimage.jpg'; // or $_GET['img']
echo file_get_contents('/myimages/'.$_file);
?>

现在，$_file 可以是 $_GET 参数，但它对于验证输入参数绝对重要...

现在您可以制作一个 < code> 访问位于 /myimage/flower.jpg 的flower.jpg 图像 ...

Answer 3

那么，网络浏览器只能访问 public_html 中的文件和文件夹。

Answer 4

如果 public_html 目录是用户服务器的根目录，则 Apache 无法提供不在该目录内部/之下的任何内容。

如果您希望 Apache 直接提供文件，则必须将其放在 public_html 中/下面。

Answer 5

我认为您的误解在于，如果您在 标记中包含图像，您的浏览器将向网络服务器发送完全相同的请求来获取它，该请求将发送到Web 服务器，如果您尝试直接在浏览器中打开图像的 src url。

因此，要么两者都起作用，要么两者都不起作用。

有一些黑客攻击，涉及一个（php 或其他）脚本来确保请求图像的 IP 在最后几秒钟内也请求了 html 页面（如果用户位于轮换传出的代理后面，则这将不起作用） IP）或通过检查引用站点（这不适用于 HTTP，并且如果用户禁用了引用站点也不起作用）。

如果您想确保只有某些用户可以看到图像（通过 标记和直接），您可以将图像放在 public_html 之外，并有一个（php 或其他）脚本在提供图像之前验证用户的凭据。

Answer 6

如果您使用 Apache 或 lighttpd，您可以使用 X-Sendfile 标头发送不在 Web 根目录中的文件（前提是您没有更改 mod_xsendfile 的配置）。

要了解有关 X-sendfile 的更多信息，请参阅此

此解决方案为您提供最佳性能，因为 PHP 不发送文件，但服务器发送文件，因此可以在提供文件时退出 PHP。

希望有帮助。