我正在编写一个允许用户上传图像的应用程序（php/lavel）。易于理解的没问题。过去，每当我编写这样的应用程序时，用户可以上传图像，但只能由上传图像的用户访问，我都会在Web服务器的主目录中创建一个公共的"上传"目录。在这个上传目录中，我包含了一个index.html文件，它只显示了一条消息："这个目录的内容被隐藏了"。
如果用户从web浏览器手动浏览到上传目录，这将使他们无法看到文件的内容。然后，作为一个额外的"安全"层，我会在文件名中附加一个随机字符集的md5哈希。文件名最终看起来像：
my_image__5a73e7b6df89f85bb34129fcdfd7da12.png
这使得任何人都不太可能猜测上传目录中的特定文件名。
这仍然是实现此类功能的最佳方式吗？在我的过程中，是否有一些我忽略了的漏洞？出于某种原因，将敏感文件放在webroot中感觉不太好。。。
我会将所有图像存储在webroot之外。对于每个图像，数据库中都有一条记录，其中包含关于谁可以访问该图像的信息、图像的名称以及图像的完整路径。
要显示实际的图像，您需要创建一个额外的图像路由，该路由将到达该目录并创建适当的响应。如果添加干预程序包，这实际上非常容易。
Route::get('images/{imageName}', function($imageName) {
// Check database to ensure currently logged in user has acces to the image.
$image = DB::table('images')->where('name', $imageName)->where('user', Auth::user()->user_name)->first();
if(!is_null($image)) {
return Image::make($image->full_path)->response('png');
} else {
return Image::make('defaultNotAllowedImage.png')->response('png');
}
});
现在，如果他们调用images/someTestImage.png，并且someTestImage.pg与图像和用户的名称匹配，它将返回该图像，否则它将返回默认图像。
以下是我所做的：
上传目录位于web根目录之外。没有索引文件
我随机化文件名。我使用应用程序逻辑来确定谁可以看到什么，然后将图像数据发送到浏览器：
I.e
public function images($dir, $image_filename)
{
$allowed_dirs = array(
//some directories I know files in for
//a small amount of security
}
//check if user is allowed to view the passed image
$user = $this->user;
$this->validate_user($user);
if (array_key_exists($dir, $allowed_dirs)) { //is $dir allowed?
$path = BASEPATH . $allowed_dirs[$dir];
$details = @getimagesize($path . '/' . basename($image_filename));
header("Expires: Mon, 26 Jul 1997 05:00:00 GMT");
header("Last-Modified: " . gmdate("D, d M Y H:i:s") . " GMT");
header("Pragma: no-cache");
header('Content-Type: ' . $details['mime']);
@readfile($path . '/' . $image_filename); //send image data to browser
exit();
}
else {
exit();
}
}