Laravel 9实现私有存储图片仅通过Blade的asset()访问，禁止URL直接访问

我需要实现查看storage/app/private/images/nomefile.jpg中图片的功能，要求仅允许通过Blade模板在用户认证后访问，禁止直接通过完整URL路径打开，确保图片非公开。尝试了几种方法但没成功，现有代码如下：

现有代码 #

控制器（存储图片部分） #

$request->validate([
    'image' => 'required|image|mimes:jpg,jpeg,png|max:8000'
]);
$imageName = time() . '.' . $request->image->getClientOriginalExtension();

$request->image->store('images', 'private');

$imageName = $request->file('image')->hashName();

$safeImageName = htmlspecialchars($imageName, ENT_QUOTES, 'UTF-8');

DB::table('aree')->where('id_area', $id)->update(['photo' => $safeImageName]);

Blade模板 #

<img src="{{ asset('storage/images/' . $item->photo) }}" alt="Shape2503" />

路由（尝试拦截URL） #

Route::get('/storage/images/{path}', [ImageController::class, 'show'])->name('image.show');

拦截URL的控制器方法 #

public function show($path)
{
    $path = storage_path('storage/images/'. $path);

    return abort(401);
}

解决方案 #

1. 修正图片存储逻辑 #

存储代码存在冗余和错误，store('images', 'private')会自动将文件存入storage/app/private/images并返回包含哈希文件名的相对路径，直接复用该返回值即可：

$request->validate([
    'image' => 'required|image|mimes:jpg,jpeg,png|max:8000'
]);

// 存储到私有磁盘，获取完整相对路径（如images/abc123.jpg）
$imagePath = $request->image->store('images', 'private');
// 提取纯文件名存入数据库（如abc123.jpg）
$imageName = basename($imagePath);

$safeImageName = htmlspecialchars($imageName, ENT_QUOTES, 'UTF-8');
DB::table('aree')->where('id_area', $id)->update(['photo' => $safeImageName]);

2. 调整路由，添加认证中间件 #

避免使用/storage/images前缀（该前缀默认对应public存储的符号链接，易冲突），改用自定义前缀并添加auth中间件，确保仅登录用户可访问：

// 仅允许认证用户访问私有图片
Route::get('/private-images/{filename}', [ImageController::class, 'show'])->name('private.image.show')->middleware('auth');

3. 修正控制器的图片响应逻辑 #

使用Laravel的Storage门面读取私有磁盘文件，验证存在后返回合法图片响应：

use Illuminate\Support\Facades\Storage;
use Symfony\Component\HttpFoundation\Response;

public function show($filename)
{
    $filePath = "images/{$filename}";

    // 检查文件是否存在于私有磁盘
    if (!Storage::disk('private')->exists($filePath)) {
        abort(404, '图片不存在');
    }

    // 获取文件内容与MIME类型
    $fileContent = Storage::disk('private')->get($filePath);
    $mimeType = Storage::disk('private')->mimeType($filePath);

    // 返回图片响应，可按需添加缓存头
    return new Response($fileContent, 200, [
        'Content-Type' => $mimeType,
        'Cache-Control' => 'public, max-age=31536000'
    ]);
}

4. 修正Blade模板中的图片链接 #

私有存储文件不在public目录下，不能用asset()，需通过自定义路由生成访问链接：

<img src="{{ route('private.image.show', ['filename' => $item->photo]) }}" alt="Shape2503" />

5. 确保直接访问无效 #

storage/app/private目录不在Web服务器根目录（public）下，用户直接输入类似your-domain/storage/images/xxx.jpg的URL会自动返回404，无需额外拦截。

内容的提问来源于stack exchange，提问作者Moreno