有没有办法对普通用户隐藏图片网址？答案

【问题标题】：Is there a way to hide the image urls from the common user?有没有办法对普通用户隐藏图片网址？
【发布时间】：2019-06-26 22:21:29
【问题描述】：

我正在尝试弄清楚如何在查看控制台或源代码时隐藏图像的 url。

我看到其他人问这个问题是为了阻止用户下载图像，但这不是问题 - 事实上他们应该能够下载/保存图像。

真正的原因是因为我的用户正在将我网站上的图片上传到第三方存储服务，例如 cloudinary。我不希望用户知道图像的去向，因为我担心他们会操纵发送或接收的数据。这只是一项额外的安全措施，即使在检查发送/接收的图像确实是图像 url 而不是恶意代码或任何东西之后也是如此。

对于在控制台中隐藏 URL，您有什么建议？我完全不知道从哪里开始。

详细说明一下：用户在我的网站上单击“浏览文件”，然后单击“上传”。文件被传输到云存储。然后，我的网站从 cloudinary 获取图像 url，将 url 存储在我的数据库中，并将它们显示在用户个人资料的 div 框中。像这样的：

<div class="listing_img" style="background-image:url('.$img_url.');"></div>

其中 $img_url 是数据库中的一行。

有点像一个图像存储网站，但不完全是，人们不会来我的网站存储图像。用户在任何阶段都不会看到他们的图像被发送到哪个 API url，除非他们当然在浏览器控制台中看到“img src=akdklasdjakl”。

我不确定这是否是正确的方法，但这似乎不是一个坏主意。

【问题讨论】：

这就是我的意思：<div class="listing_img" style="background-image:url('.$img_url.');"></div>。 div内容为空，但控制台仍会显示url。
是的，完全正确。用户可以知道他们的图像存储在其他地方，但他们不应该知道确切的位置。
是的，我想是的，因为它是通过 JavaScript 或 Ajax 完成的。我不想透露它的原因是，例如，用户知道他们的图像将发送到domain.com/folder/username，因此只需更改该值就可以很容易地将图像上传到另一个用户的文件夹。这可能有点问题，首先因为我使用文件夹结构来划分用户图像，还因为我更喜欢用户不知道正在使用哪个第三方服务，这只是给他们更多关于“哪个”网站的信息可以被黑客入侵/操纵。
如果图像存储在云服务器上并且您希望用户从那里下载它，您需要告诉客户端从哪里下载它（因为这是您想要它做的） .
不，这不是为了“支持或维持”任何东西，我的网站首先不是关于图像上传的。我正在使用第三方工具，因为我不想为了存储用户可能使用或可能不使用的图像（例如，个人资料图片）而使用一堆计算机。

标签： javascript php mysql image security

【解决方案1】：

您可以尝试使用 data-uri 添加图像数据而不是图像 url - 就像您添加内嵌图像一样。所以，在 CSS 中你可以试试：

style="background:url(data:image/gif;base64,R0lGODlhEAAQAMQAAORHHOVSKu..... etc) no-repeat;"

例如：

这使用远程图像，但您可以使用本地文件路径 - 甚至那些没有文档根目录的路径。

    $source='http://jumanjipets.co.uk/wp-content/uploads/2018/02/koi.jpg';
    $contents=file_get_contents( $source );

    printf( "<img src='data:image/jpeg;base64, %s' />", base64_encode( $contents ) );

【讨论】：

base64 可以轻松解码吗？这段代码是“默默无闻的安全”
我确实提到了“普通用户”@RaymondNijland :) 如果有线索的用户真的想查看该网址，他们会设法找到它。我关心的只是防止以“简单”的方式使用其他用户的文件夹。这个答案正朝着正确的方向前进，如果它不可解码当然会很好。
图像数据可以被解码，但实际路径仍然未知。任何时候在浏览器中呈现图像时它都是可用的 - 但至少使用图像数据 uri 路径是未知的
你可能想再看一遍......它不是base64 encoded的路径，而是实际的图像数据 - 不再需要显示图像的路径
恐怕你需要自己权衡利弊。很有可能在服务器上启用了 gzip 压缩（或者可以启用），因此您可以节省一点点……也许可能需要进行一些基准测试以确定一种方法是否明显变慢

【解决方案2】：

另一种方法是通过您自己的服务器提供图像。只需遵守例如的约定。图像 ID 将它们转换回原始图像 URL。

用户得到一个带有<img src="/img-1.jpg">的页面。

将以“^/img”开头的 url 重定向到脚本以检索服务器上的图像并从那里返回图像。

RewriteRule ^/img-(\d+) convert-img-id-to-url.php?id=$1 [L]

用户看不到原始来源。只有您可以将图像 ID 链接到源。

【讨论】：