PHP图片服务教程：保护非公开目录资源并正确处理MIME类型

<img src="https://example.com/fetch_image.php?image=image_name.png" />

<?php
// 警告：此代码存在严重安全漏洞，请勿直接用于生产环境！
$displayimage = file_get_contents('/home/whatever/public_html/db/uploads/'.$_GET['image']);
header('Content-Type: image/jpeg'); // 假设所有图片都是JPEG
echo $displayimage;
?>

// 1. 打开文件信息资源
$finfo = finfo_open(FILEINFO_MIME_TYPE);

// 2. 获取文件的MIME类型
$mimeType = finfo_file($finfo, $realImagePath);

// 3. 关闭文件信息资源
finfo_close($finfo);

// 4. (可选) 验证MIME类型是否为图片
if (!in_array($mimeType, ['image/jpeg', 'image/png', 'image/gif', 'image/webp', 'image/svg+xml'])) {
    http_response_code(415); // Unsupported Media Type
    die('Unsupported file format.');
}

// 5. 设置正确的Content-Type头
header('Content-Type: ' . $mimeType);

header('Content-Length: ' . filesize($realImagePath));
readfile($realImagePath);

<?php
// ---------------------------------------------------------------------
// PHP 安全图片服务脚本
// 功能：从非Web可访问目录安全地提供图片，并正确处理MIME类型
// ---------------------------------------------------------------------

// 1. 配置：设置您的图片存储根目录
// 确保这是一个绝对路径，并且是Web服务器无法直接访问的目录
$imageRootDirectory = '/home/whatever/public_html/db/uploads/';

// 确保目录路径以斜杠结尾
$imageRootDirectory = rtrim($imageRootDirectory, '/') . '/';

// 2. 输入验证：检查并净化用户提供的图片文件名
if (!isset($_GET['image']) || empty($_GET['image'])) {
    http_response_code(400); // Bad Request
    die('Error: Image parameter missing.');
}

// 使用 basename() 过滤掉任何路径信息，防止目录遍历攻击
$requestedImageName = basename($_GET['image']);

// 3. 路径构建与安全检查
// 构建完整的潜在图片路径
$potentialImagePath = $imageRootDirectory . $requestedImageName;

// 使用 realpath() 解析真实路径，并检查是否在允许的根目录内
$realImageRoot = realpath($imageRootDirectory);
$realImagePath = realpath($potentialImagePath);

// 重要的安全检查：
// - realpath() 返回 false 表示文件或路径不存在
// - strpos() 检查真实文件路径是否以真实根目录路径开头，确保文件在限定目录内
if ($realImagePath === false || strpos($realImagePath, $realImageRoot) !== 0) {
    http_response_code(403); // Forbidden
    die('Error: Access denied or invalid image path.');
}

// 4. 文件存在性检查
if (!file_exists($realImagePath) || !is_file($realImagePath)) {
    http_response_code(404); // Not Found
    die('Error: Image not found.');
}

// 5. 动态检测并设置内容类型（MIME Type）
// 需要确保 PHP 的 fileinfo 扩展已启用
if (!extension_loaded('fileinfo')) {
    http_response_code(500); // Internal Server Error
    die('Error: PHP fileinfo extension is not enabled.');
}

$finfo = finfo_open(FILEINFO_MIME_TYPE);
if ($finfo === false) {
    http_response_code(500);
    die('Error: Failed to open fileinfo database.');
}

$mimeType = finfo_file($finfo, $realImagePath);
finfo_close($finfo);

// (可选) 进一步验证MIME类型，确保只提供图片文件
$allowedMimeTypes = [
    'image/jpeg',
    'image/png',
    'image/gif',
    'image/webp',
    'image/svg+xml' // 如果您也需要提供SVG
];

if (!in_array($mimeType, $allowedMimeTypes)) {
    http_response_code(415); // Unsupported Media Type
    die('Error: Unsupported file format.');
}

// 6. 设置HTTP响应头并传输文件
header('Content-Type: ' . $mimeType);
header('Content-Length: ' . filesize($realImagePath)); // 提供文件大小，有助于浏览器优化下载
header('Cache-Control: public, max-age=31536000'); // 启用客户端缓存，提高性能 (例如一年)
header('Last-Modified: ' . gmdate('D, d M Y H:i:s', filemtime($realImagePath)) . ' GMT'); // 文件的最后修改时间

// 使用 readfile() 更高效地输出文件内容
readfile($realImagePath);

exit; // 终止脚本执行
?>