限制对CodeIgniter 4中个人资料图片的未授权访问

方案1：将图片存储到非公开目录，通过控制器代理访问（推荐） #

这是最稳妥的实现方式，直接把图片移出可直接HTTP访问的public目录，所有图片请求必须经过控制器的登录校验：

• 调整图片存储位置：把用户头像从public/uploads/avatars这类公开目录，迁移到writable/uploads/avatars或app/Assets/avatars（这两个目录默认不允许直接通过URL访问）。
• 创建图片访问控制器：新建App\Controllers\Avatar.php，编写处理图片请求的方法：

<?php

namespace App\Controllers;

use CodeIgniter\Controller;
use CodeIgniter\HTTP\Exceptions\HTTPException;

class Avatar extends Controller
{
    public function show($userId)
    {
        // 验证用户登录状态，逻辑和你项目的登录校验保持一致
        if (!session()->has('user_id')) {
            throw new HTTPException(403, '未授权访问');
        }

        // 构建图片路径，根据实际后缀调整（比如png/jpg）
        $avatarPath = WRITEPATH . 'uploads/avatars/' . $userId . '.png';

        // 处理文件不存在的情况，返回默认头像或404
        if (!file_exists($avatarPath)) {
            $avatarPath = WRITEPATH . 'uploads/avatars/default.png';
            if (!file_exists($avatarPath)) {
                throw new HTTPException(404, '头像不存在');
            }
        }

        // 设置响应头并输出图片
        return $this->response
            ->setHeader('Content-Type', mime_content_type($avatarPath))
            ->setBody(file_get_contents($avatarPath));
    }
}

• 配置路由：在app/Config/Routes.php中添加路由规则：

$routes->get('avatar/(:num)', 'Avatar::show/$1');

• 更新前端图片路径：将原来的直接访问URL（比如/uploads/avatars/123.png）替换为控制器路由（/avatar/123），确保所有图片请求都经过校验。

方案2：通过.htaccess拦截公开目录的图片请求（适合无法移动图片的场景） #

如果图片必须存放在public目录，可通过重写规则将图片请求转至控制器验证：

• 修改public/.htaccess：添加重写规则，拦截头像请求并转发到控制器：

RewriteEngine On

# 拦截头像文件请求，转发到Avatar控制器
RewriteRule ^uploads/avatars/([0-9]+)\.(png|jpg|jpeg)$ /avatar/show/$1 [L]

• 调整控制器路径：控制器中读取图片的路径改为PUBLICPATH开头：

$avatarPath = PUBLICPATH . 'uploads/avatars/' . $userId . '.png';

注意：此方式依赖服务器的Apache重写配置，可能在Nginx环境下需要调整配置，可靠性不如方案1。

额外优化建议 #

• 权限细化：如果需要限制仅用户本人或特定角色能查看头像，可在控制器中添加额外校验，比如对比当前登录用户ID与请求的userId是否一致。
• 缓存优化：在控制器响应中添加缓存头（如Cache-Control），减少重复请求的服务器压力。
• 异常处理：可根据需求自定义403/404时的响应内容，比如返回默认头像或提示页面。

内容的提问来源于stack exchange，提问作者maulik