只允许PHP脚本打开网址,如www.mydomain.com/topsecret/1/001.jpg

我运行一个Web应用程序,将用户上传的文件存储在以下文件夹结构中：

www.mydomain.com/uploads/topsecret/1/001.jpg
www.mydomain.com/uploads/topsecret/1/002.jpg

现在,很容易猜到003.jpg和004.jpg的网址……

因此,我想限制用户只能访问www.mydomain.com/app/,而不是其他任何内容.
只允许我在localhost上的.PHP页面获取最高机密的pdf,比如

show.PHP:
<? if ($isAdmin) {
    echo "<img src='http://www.mydomain.com/uploads/topsecret/1/001.jpg'/>";
 } ?>

也许通过.htaccess或通过文件夹权限有一个解决方案.我知道我可以通过“headers”和“readfile”修复问题,但这会导致现在进行一些重构.

先感谢您,
马蒂亚斯

解决方法

一些澄清：当你做一个

echo "<img src='....'>";

PHP访问无关紧要(事实上,即使PHP无法访问该文件,它也能正常工作！).第一步是要意识到,它是浏览器发出图像请求.因此,如果浏览器可以访问它,则用户可以通过猜测图像的名称来访问其他图像.如果您使用PHP的readfile提供图像,这甚至可以工作.这就是为什么我写道你试图以错误的方式解决问题.

你可以做的是模糊图像名称(或发送到PHP脚本的请求变量).例如：使用盐MD5.这样用户无法猜出名字.