URL重写后相对路径失效，如何实现带权限验证的文件访问？

核心原因 #

你的.htaccess把所有请求（包括图片这类静态资源请求）都重定向到了index.php，但当前index.php只在请求URI匹配时输出<img>标签，并没有处理图片本身的请求——当浏览器加载<img src="image.png">时，实际请求的是index.php而非真实的图片文件，所以显示破损。

两种解决方案 #

方案一：通过index.php验证权限后输出图片内容 #

保持.htaccess的现有规则（确保所有请求都经过index.php），修改index.php来处理图片请求：

<?php
// 定义需要保护的文件路径（对应请求URI）
$protected_files = ["/project/image.png"];
$user_logged_in = true;

$request_uri = $_SERVER['REQUEST_URI'];

// 处理受保护的文件请求
if (in_array($request_uri, $protected_files)) {
    if ($user_logged_in) {
        // 获取图片的真实物理路径
        $real_file = __DIR__ . '/image.png';
        if (file_exists($real_file)) {
            // 设置正确的Content-Type头
            $mime = mime_content_type($real_file);
            header("Content-Type: $mime");
            // 输出图片内容
            readfile($real_file);
            exit;
        } else {
            http_response_code(404);
            echo "文件不存在";
            exit;
        }
    } else {
        http_response_code(403);
        echo "无访问权限";
        exit;
    }
}
?>
<body>
    <?php if ($user_logged_in): ?>
        <!-- 这里请求的是受保护的URI，会经过index.php验证 -->
        <img src="/project/image.png">
    <?php endif; ?>
</body>

这样，当浏览器请求/project/image.png时，index.php会先验证用户权限，通过后直接输出图片内容，图片就能正常加载；如果用户直接访问该URL，未登录会被拒绝，达到保护文件的目的。

方案二：将敏感文件放到Web根目录外（更安全） #

把image.png移动到Web根目录之外，比如C:\xampp\protected_files\image.png，这样用户无法通过URL直接访问。然后修改index.php中的文件路径：

// 替换方案一中的$real_file为：
$real_file = 'C:\xampp\protected_files\image.png';

这种方式彻底避免了文件被直接访问的可能，安全性更高。

入门友好的学习资源 #

• Apache官方的mod_rewrite模块文档：包含基础规则、条件判断的详细说明和示例，能帮你理解URL重写的核心逻辑。
• PHP官方的文件处理与HTTP头文档：学习如何安全读取文件、设置响应头，这是后端输出静态资源的基础。
• Web权限控制入门教程：聚焦“前端路由+后端验证”结合保护静态资源的内容，这类教程通常会有 step-by-step 的实操案例。

内容的提问来源于stack exchange，提问作者Ady