php - 嵌入图像的脚本

Question

我运行一个小型浏览器 MMO，我遇到一个问题，一些用户将脚本嵌入到他们的个人资料图像中，并使用它们对所述用户和我的游戏进行攻击。有没有办法防止这种情况发生，或者我是否需要开始阻止人们使用他们自己的自定义图像？

如果有帮助，那是在 PHP/MySQL 中完成的。

Answer 1

最有可能发生的事情是他们给你一个链接到一个脚本的链接，这个脚本正在构建图像并即时返回它，除了不允许用户使用外部图像之外，没有什么可以做的，一种防止它的方法是下载图像并将其存储在您的服务器上，而不是链接到外部图像。

--我决定提供 sample
此图像是即时创建的，我提供的网址是:http://unkwndesign.com/profilePic.png :
alt text http://unkwndesign.com/profilePic.png
现在，profilePic.png 是一个文件夹，当请求时提供 index.php，它使用 gd 获取 SO Logo ，并在其上强加您的 IP 地址，在这里非常清楚我没有记录这个或任何其他数据index.php 的来源是:

<?php
$image = imagecreatefrompng("http://stackoverflow.com/Content/Img/stackoverflow-logo-250.png");
$font_size = 12;
$color = imagecolorallocate($image, 0,0,0);
ImageTTFText ($image, $font_size, 0, 55, 35, $color, "arial.ttf",$_SERVER['REMOTE_ADDR']);
header("Content-type: image/png");
imagepng($image);
imagedestroy($image);
?>

由于我返回的是图像，具有适当的扩展名和适当的 MIME 类型，所以无法检测我在做什么。如果服务器下载了我的图像并将其存储在本地，IP 地址将是服务器的 IP 地址，这会破坏这样做的乐趣，并且可能证明足以阻止该行为。