如何保护上传文件免受未授权访问？解决图片URL可被任意访问问题

1. 用路由中间件做权限校验 #

把图片读取逻辑放到路由里，给路由加权限验证中间件，确保只有有权限的用户能访问：

在routes/web.php添加路由：

Route::get('/images/{filename}', [ImageController::class, 'show'])
    ->middleware('auth') // 先限制登录用户，后续可替换为自定义权限中间件
    ->name('images.show');

创建ImageController并编写读取逻辑：

<?php

namespace App\Http\Controllers;

use Illuminate\Support\Facades\Storage;

class ImageController extends Controller
{
    public function show($filename)
    {
        $filePath = 'uploads/photo/' . $filename;

        // 核心：校验用户权限，示例：检查图片是否属于当前登录用户
        // 假设你有Image模型关联user_id，可查询数据库验证
        // $image = \App\Models\Image::where('filename', $filename)->firstOrFail();
        // if ($image->user_id !== auth()->id()) {
        //     abort(403, '无权限访问');
        // }

        // 检查文件是否存在
        if (!Storage::exists($filePath)) {
            abort(404, '图片不存在');
        }

        // 输出图片流（比base64高效）
        $fileContent = Storage::get($filePath);
        $mimeType = Storage::mimeType($filePath);
        
        return response($fileContent)->header('Content-Type', $mimeType);
    }
}

2. 优化存储逻辑（可选） #

替换原来的file_put_contents，用Laravel Storage门面操作更规范：

// 生成文件名
$filename = date('YmdHi') . auth()->id() . rand(1, 99999999);
$fullFilename = $filename . '.' . $extension;

// 存储图片
$storageDir = 'uploads/' . $path;
Storage::put($storageDir . '/' . $fullFilename, $img);

3. 前端正确展示图片 #

前端用路由URL加载图片，不要用base64：

<img src="{{ route('images.show', ['filename' => $fullFilename]) }}" alt="用户图片">

关键注意事项 #

• 确保web服务器（sail环境默认没问题）没有配置直接访问storage/app/uploads的规则，禁止暴露原始文件路径。
• 权限校验要精准：如果需要更细粒度的权限（比如角色、分组），在控制器里添加对应逻辑即可。
• 避免用base64输出大图片，直接输出文件流性能更好。

内容的提问来源于stack exchange，提问作者wtsuport