拒絕無效用戶使用php訪問根目錄中的文件

Question

我有一個PHP網站。 要訪問某些頁面，用戶必須登錄。我提供了一個腳本，如果未經身份驗證，可以重定向到登錄頁面。 用戶必須尋找專門為他們制作的圖像，其他用戶則不應看到這些圖像。 為了顯示這些圖像，我使用了img標簽，據我所知它們必須位於根目錄中。 有什么方法可以保護這些文件免受無效用戶的侵害？

Answer 1

與其鏈接到<img src='1.jpg'/>類的圖像，而不是鏈接到檢查用戶已登錄並回顯圖像字節的php <img src='getimage.php?imageId=1'/> ...，然后將其放置在該php頁面之外不可直接使用的位置。

//check if user is logged in
if(!loggedIn())
{
   echo 'not logged in';
   exit();
}
$id = $_GET['imageId'];
$file = ... //use that id to look in db for image path
$type = 'image/jpeg';
header('Content-Type:'.$type);
header('Content-Length: ' . filesize($file));
readfile($file);