PHP安全地从非Web可访问目录加载图像：MIME类型与输入验证深度解析

<img src="https://example.com/fetch_image.php?image=image_name.png" />

<?php
$baseDir = '/home/whatever/public_html/db/uploads/'; // 假设这是非Web可访问目录
$imageName = $_GET['image']; // 直接获取用户输入

// 直接拼接路径
$filePath = $baseDir . $imageName; 

$displayImage = file_get_contents($filePath);

header('Content-Type: image/jpeg'); // 固定MIME类型
echo $displayImage;
?>

<?php
// 1. 定义安全的图像存储根目录
$secureImageBaseDir = '/home/whatever/public_html/db/uploads/'; // 确保末尾有斜杠

// 2. 获取并严格验证用户输入的文件名
$requestedImage = $_GET['image'] ?? ''; // 使用null合并运算符防止未定义索引错误

// 验证文件名是否为空
if (empty($requestedImage)) {
    http_response_code(400); // Bad Request
    die('Image name is required.');
}

// 提取文件名，移除任何路径信息，防止恶意路径注入
// basename() 只能处理文件名，不能阻止像 "dir/../file.png" 这样的路径
$cleanImageName = basename($requestedImage);

// 进一步的白名单验证：确保文件名只包含允许的字符
// 例如：只允许字母、数字、下划线、连字符和点
if (!preg_match('/^[a-zA-Z0-9_\-.]+\.(jpg|jpeg|png|gif|webp)$/i', $cleanImageName)) {
    http_response_code(403); // Forbidden
    die('Invalid image name format.');
}

// 3. 构建完整的安全文件路径
$filePath = $secureImageBaseDir . $cleanImageName;

// 4. 路径规范化与边界检查
// realpath() 会解析所有符号链接和 ../ 等，返回文件的真实绝对路径
$realFilePath = realpath($filePath);

// 检查真实路径是否存在且是否在允许的根目录内
if ($realFilePath === false || strpos($realFilePath, realpath($secureImageBaseDir)) !== 0) {
    http_response_code(404); // Not Found 或 403 Forbidden
    die('Image not found or access denied.');
}

// 确保文件是可读的
if (!is_readable($realFilePath)) {
    http_response_code(403); // Forbidden
    die('Access to image denied.');
}

// ... 接下来是MIME类型检测和文件输出
?>

<?php
// ... (接续上面的文件路径验证代码) ...

// 5. 动态检测MIME类型
$finfo = finfo_open(FILEINFO_MIME_TYPE); // 返回MIME类型，如 "image/jpeg"
if ($finfo === false) {
    http_response_code(500); // Internal Server Error
    die('Could not open fileinfo database.');
}

$mimeType = finfo_file($finfo, $realFilePath);
finfo_close($finfo);

// 检查MIME类型是否为图像类型
if (strpos($mimeType, 'image/') !== 0) {
    http_response_code(403); // Forbidden
    die('File is not an image.');
}

// ... 接下来是设置HTTP头和文件输出
?>

<?php
// 1. 配置：定义安全的图像存储根目录
// 确保这个目录在Web服务器的公共访问目录之外，且PHP进程有读取权限
$secureImageBaseDir = '/var/www/private_uploads/'; 

// 确保目录存在且可读，并在末尾添加斜杠
if (!is_dir($secureImageBaseDir) || !is_readable($secureImageBaseDir)) {
    // 生产环境中，此处应记录错误并返回通用错误
    error_log('Secure image base directory not found or not readable: ' . $secureImageBaseDir);
    http_response_code(500);
    die('Server configuration error.');
}
$secureImageBaseDir = rtrim($secureImageBaseDir, '/') . '/';
$realBaseDir = realpath($secureImageBaseDir); // 获取真实路径用于比较

// 2. 获取并严格验证用户输入的文件名
$requestedImage = $_GET['image'] ?? '';

if (empty($requestedImage)) {
    http_response_code(400); // Bad Request
    die('Image name is required.');
}

// 提取文件名，移除任何路径信息
$cleanImageName = basename($requestedImage);

// 进一步的白名单验证：确保文件名只包含允许的字符和常见的图片扩展名
// 这个正则表达式可以根据你的需求调整
if (!preg_match('/^[a-zA-Z0-9_\-.]+\.(jpg|jpeg|png|gif|webp|svg)$/i', $cleanImageName)) {
    http_response_code(403); // Forbidden
    die('Invalid image name format or unsupported file type.');
}

// 3. 构建完整的安全文件路径
$filePath = $secureImageBaseDir . $cleanImageName;

// 4. 路径规范化与边界检查
// realpath() 解析所有符号链接和 ../ 等，返回文件的真实绝对路径
$realFilePath = realpath($filePath);

// 检查真实路径是否存在，并且是否在允许的根目录内
// strpos($realFilePath, $realBaseDir) !== 0 确保文件路径以根目录开始，防止目录遍历
if ($realFilePath === false || strpos($realFilePath, $realBaseDir) !== 0) {
    http_response_code(404); // Not Found
    die('Image not found or access denied.');
}

// 确保文件是可读的
if (!is_readable($realFilePath)) {
    http_response_code(403); // Forbidden
    die('Access to image denied.');
}

// 5. 动态检测MIME类型
$finfo = finfo_open(FILEINFO_MIME_TYPE);
if ($finfo === false) {
    error_log('Failed to open fileinfo database.');
    http_response_code(500);
    die('Server error.');
}

$mimeType = finfo_file($finfo, $realFilePath);
finfo_close($finfo);

// 检查MIME类型是否为图像类型
if (strpos($mimeType, 'image/') !== 0) {
    http_response_code(403); // Forbidden
    die('File is not a recognized image type.');
}

// 6. 设置HTTP响应头
header('Content-Type: ' . $mimeType);
header('Content-Length: ' . filesize($realFilePath));
// 可选：设置缓存头，提高性能
header('Cache-Control: public, max-age=31536000'); // 缓存一年
header('Expires: ' . gmdate('D, d M Y H:i:s', time() + 31536000) . ' GMT');

// 7. 输出文件内容
readfile($realFilePath); // 比 file_get_contents() 更高效，因为它直接将文件内容写入输出缓冲区
exit; // 终止脚本执行
?>