阻止直接访问动态 PHP 图像

Question

我有一个名为 test.php 的 PHP 页面，我在该页面上链接到一个名为 image.php 的动态图像，如下所示：

echo "<img src=\"image.php?ID=abc&X=123\" align=\"absmiddle\" style=\"margin:5px;\"><br>";

图像文件将ID 和X 作为GET 参数，并使用它们来include 我服务器中的现有静态图像。发送标头告诉服务器将文件解释为 jpeg。

我想阻止用户通过访问http://mydomain.com/image.php?ID=/abc&X=123 拉取图像，同时允许在test.php 和我服务器上的其他页面中查看该图像。我该如何做到这一点？

到目前为止，我已经尝试了多种.htaccess 修改和重写，其中与我的担忧最相关的是the one shown on this page。没有任何效果；请帮忙！

Answer 1

I) 使用会话：

test.php:

<?php
session_start();
//....
$_SESSION["allow_images"]="yes";
echo "<img src=\"image.php?ID=abc&X=123\" align=\"absmiddle\" style=\"margin:5px;\"><br>";
?>

image.php:

<?php
session_start();

if(isset($_SESSION["allow_images"]) { 
  // render image
  unset($_SESSION["allow_images"]);
} else {
  // throw error/ show dummy image /etc
}
?>

II) 第二种解决方案（并非万无一失）：

里面的image.php

$ref=$_SERVER["HTTP_REFERER"]; 
if($ref == "http://yoursite.com/path/test.php") {  
   // get image parameters and render image
} else {
   // throw error or maybe render a dummy image with just few bytes
};

请注意，HTTP_REFERER 很容易被欺骗。

---

之前的错误解决方案：

在 test.php 中使用变量

$allow_image="yes";
echo "<img src=\"image.php?ID=abc&X=123\" align=\"absmiddle\" style=\"margin:5px;\"><br>";

并在渲染之前在 image.php 中测试 isset($allow_images)。仅当 romanusfatuus 指出的包含 image.php 时才会起作用。

Answer 2

这是不可能的，因为您的浏览器显示图像的操作是直接访问。

会有很多关于分析HTTP_REFERER 的建议，但这将是一个糟糕的决定，因为此标头是可选的，并且在某些情况下它可以被防火墙、防病毒、代理等切断。