security - 只允许从特定的 html 页面访问图像

Question

我的网站有不同的用户，拥有不同的图像，这些图像都存储在同一个文件夹中。图像以增量方式存储，1.jpg、2.jpg 等。
用户可以在特定的 php 页面上查看这些图片。现在我想限制只能通过这个 php 页面访问这些图像，这样他们就不能简单地枚举所有文件名来查看其他用户的图像。

我想用 .htaccess 来做这件事除了图像之外存储的文件 /shop/img/userimg/看起来像这样:

RewriteEngine On
RewriteCond %{REQUEST_URI} !^/shop/shop.php [NC]
RewriteRule .*\.(jpe?g|gif|bmp|png)$ - [F]

我的站点是一个子站点(如您所见:/shop/)，查看这些图像的 php 页面将是 shop.php .

现在，这可能吗？我究竟做错了什么？

Answer 1

请注意，引用 header 是不可信的。一些代理和防火墙完全删除了 header ，因此您必须考虑它不存在(这就是第二行的用途)

RewriteCond %{HTTP_REFERER} !/shop/shop\.php$ [NC]
RewriteCond %{HTTP_REFERER} !^$
RewriteRule \.(jpe?g|gif|bmp|png)$ - [F,L]