如何通过.htaccess与PHP限制网站图片访问权限？

一、修复.htaccess规则（避免拦截index.php自身） #

你的循环重定向核心原因是原规则会把user/index.php的请求也拦截并重定向，同时重定向后的图片URL又会再次触发规则。修改后的.htaccess会排除对index.php的拦截，确保权限验证逻辑能正常执行：

RewriteEngine On
# 排除对user/index.php的直接请求，避免循环
RewriteCond %{REQUEST_URI} !^/chat/user/index\.php$
# 拦截所有指向user目录下的请求，转发到index.php做权限校验
RewriteRule ^user(/.*)?$ user/index.php [QSA,L]

二、修改权限校验逻辑（避免重定向，用高效文件发送方式） #

原代码用header('location: ...')会触发新的请求，再次被.htaccess拦截导致循环。改用X-Sendfile（Apache）或X-Accel-Redirect（Nginx）让服务器直接发送文件，既避免循环，又不会像readfile那样消耗PHP资源：

session_start();

// 提取请求的图片相对路径
$requestUri = str_replace('/chat/', '', $_SERVER['REQUEST_URI']);
// 基础目录（user文件夹的真实路径）
$baseUserDir = realpath(__DIR__);
// 拼接真实图片路径，防止目录遍历漏洞
$realImagePath = realpath($baseUserDir . '/' . $requestUri);

// 权限校验三重保障：路径合法、在允许列表内
if (
    $realImagePath !== false 
    && str_starts_with($realImagePath, $baseUserDir) 
    && in_array($requestUri, $_SESSION['imageArray'] ?? [])
) {
    // Apache环境（需提前开启mod_xsendfile模块）
    header('X-Sendfile: ' . $realImagePath);
    // 如果是Nginx环境，替换为下面一行（需配置内部路径映射）
    // header('X-Accel-Redirect: /protected-images/' . substr($realImagePath, strlen($_SERVER['DOCUMENT_ROOT'])));
    
    // 设置正确的文件MIME类型
    $mime = mime_content_type($realImagePath);
    header('Content-Type: ' . $mime);
    exit;
} else {
    // 返回403禁止访问状态码
    http_response_code(403);
    echo '你没有权限访问该资源';
    exit;
}

关键说明 #

1. 路径安全防护：通过realpath和路径前缀校验，防止恶意用户通过../进行目录遍历攻击，避免泄露服务器敏感文件。
2. 高效文件发送：X-Sendfile/X-Accel-Redirect让Web服务器直接处理文件发送，PHP仅负责权限校验，资源消耗极低，完全符合你的需求。
3. 循环重定向解决：.htaccess排除了index.php的请求，同时不再用重定向返回图片，彻底切断循环链。

内容的提问来源于stack exchange，提问作者Make Mutistico