PHP安全加载非公开目录图片与动态内容类型处理指南

<img src="https://example.com/fetch_image.php?image=image_name.png" alt="My Image" />

<?php
// fetch_image.php
$imageName = $_GET['image']; // 从URL获取图片文件名
$imagePath = '/home/whatever/public_html/db/uploads/' . $imageName; // 构造图片完整路径

// 检查文件是否存在且可读
if (file_exists($imagePath) && is_readable($imagePath)) {
    $displayImage = file_get_contents($imagePath);
    header('Content-Type: image/jpeg'); // 假设所有图片都是JPEG
    echo $displayImage;
} else {
    // 处理文件不存在或不可读的情况，例如返回404或默认图片
    header('HTTP/1.0 404 Not Found');
    echo 'Image not found.';
}
?>

https://example.com/fetch_image.php?image=../database.php

<?php
// fetch_image.php
$baseDir = '/home/whatever/public_html/db/uploads/'; // 图片的根目录，必须是绝对路径
$imageName = $_GET['image'] ?? ''; // 获取图片文件名，使用null合并运算符处理未设置的情况

// 1. 验证文件名是否为空
if (empty($imageName)) {
    header('HTTP/1.0 400 Bad Request');
    exit('Image name is required.');
}

// 2. 使用basename()确保只获取文件名部分，防止目录遍历
$safeImageName = basename($imageName);

// 3. 构造完整的文件路径
$imagePath = $baseDir . $safeImageName;

// 4. 使用realpath()规范化路径，并检查是否仍在允许的baseDir内
// 注意：realpath()在文件不存在时返回false
$resolvedPath = realpath($imagePath);
$baseRealPath = realpath($baseDir); // 获取基准目录的真实路径

// 确保文件存在且可读，并且其真实路径确实在我们的baseDir下
// 检查resolvedPath是否以baseRealPath开头，防止符号链接攻击或其他路径绕过
if ($resolvedPath && $baseRealPath && strpos($resolvedPath, $baseRealPath) === 0 && is_readable($resolvedPath)) {
    // 文件安全检查通过，后续处理如获取MIME类型和输出图片
    // ...
} else {
    header('HTTP/1.0 404 Not Found');
    exit('Image not found or access denied.');
}
?>

<?php
// fetch_image.php
$baseDir = '/home/whatever/public_html/db/uploads/';
$imageName = $_GET['image'] ?? '';

if (empty($imageName)) {
    header('HTTP/1.0 400 Bad Request');
    exit('Image name is required.');
}

$safeImageName = basename($imageName);
$imagePath = $baseDir . $safeImageName;

$resolvedPath = realpath($imagePath);
$baseRealPath = realpath($baseDir);

if ($resolvedPath && $baseRealPath && strpos($resolvedPath, $baseRealPath) === 0 && is_readable($resolvedPath)) {
    // 使用finfo_open和finfo_file获取MIME类型
    $finfo = finfo_open(FILEINFO_MIME_TYPE); // 返回MIME类型，例如 'image/jpeg'
    if ($finfo) {
        $mimeType = finfo_file($finfo, $resolvedPath);
        finfo_close($finfo);

        // 进一步验证MIME类型是否是图片类型，防止非图片文件被当作图片输出
        if (strpos($mimeType, 'image/') === 0) {
            header('Content-Type: ' . $mimeType);
            header('Content-Length: ' . filesize($resolvedPath)); // 可选：设置Content-Length
            readfile($resolvedPath); // 使用readfile更高效地输出大文件
            exit();
        } else {
            // 如果文件不是图片类型，拒绝输出
            header('HTTP/1.0 403 Forbidden');
            exit('Access to this file type is forbidden.');
        }
    } else {
        // finfo_open失败，可能是Fileinfo扩展未启用
        header('HTTP/1.0 500 Internal Server Error');
        exit('Fileinfo extension not available.');
    }
} else {
    header('HTTP/1.0 404 Not Found');
    exit('Image not found or access denied.');
}
?>