PHP最高性能实现鉴权后将服务器内部非公开图片输出至浏览器

前置通用优化（所有方案都适用） #

• 鉴权逻辑尽量轻量化：如果是允许客户端缓存的图片，优先用带过期时间的URL签名做鉴权（签名包含图片ID、过期时间、用户标识，服务端仅校验签名合法性即可），尽量避免在图片请求上启动session、做多余的数据库查询，减少session文件锁、额外IO带来的性能损耗。
• 图片路由跳过所有无关逻辑：直接跳过框架的模板渲染、冗余日志埋点、非必要中间件，提前关闭PHP错误输出，避免报错信息混入图片流导致文件损坏，整个请求链路只保留鉴权、输出两个核心环节。

性能第一梯队方案：Web服务器内核级直出（性能为纯PHP实现的5~10倍，首选） #

这个方案的核心是PHP仅负责鉴权逻辑，鉴权通过后发送特殊响应头告知Web服务器处理文件发送，PHP进程发送完头后直接释放，不参与文件读取、传输流程。文件传输走操作系统内核的sendfile零拷贝机制，直接从磁盘缓冲区推送到网卡，全程不经过用户态内存，性能拉满，原生支持断点续传、范围请求，不会出现大图片撑爆PHP内存的问题。

• Nginx环境配置：
  首先在Nginx站点配置中定义仅内部可访问的图片路径映射，禁止外部直接URL访问：

location /internal_img/ {
    internal; # 限制仅内部跳转可访问，外部直接请求返回404
    alias /data/protected_images/; # 替换为实际服务器内部图片存储的绝对路径
    expires 30d; # 直接在Nginx层配置缓存规则，无需PHP处理
    add_header Cache-Control "public, max-age=2592000";
}

PHP端鉴权通过后仅需发送跳转头即可退出，代码示例：

<?php
// 鉴权逻辑，校验签名或者登录状态，不通过直接返回403
if (!check_user_auth()) {
    http_response_code(403);
    exit('无权访问');
}

// 严格校验传入的图片参数，防止路径穿越漏洞
$allowed_ext = ['jpg', 'jpeg', 'png', 'gif'];
$img_name = $_GET['img'] ?? '';
$ext = strtolower(pathinfo($img_name, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed_ext) || !preg_match('/^[a-zA-Z0-9_-]+\.('.implode('|', $allowed_ext).')$/', $img_name)) {
    http_response_code(400);
    exit('参数非法');
}

// 告知Nginx处理对应文件，PHP执行到此处直接释放资源
$mime_map = ['jpg'=>'image/jpeg','jpeg'=>'image/jpeg','png'=>'image/png','gif'=>'image/gif'];
header('X-Accel-Redirect: /internal_img/' . $img_name);
header('Content-Type: ' . $mime_map[$ext]);
exit;

• Apache环境逻辑完全一致：提前安装启用mod_xsendfile模块，在站点配置中开启X-Sendfile支持、指定受保护目录，PHP鉴权通过后发送X-Sendfile: /图片绝对路径响应头即可，剩余传输逻辑全由Apache处理。

该方案是目前已知的性能天花板，单服务器并发处理能力和普通静态图片访问基本一致，是生产环境的首选方案。

性能第二梯队方案：PHP原生流式输出（无X-Sendfile支持时使用） #

如果服务器无法安装配置对应的Web服务器模块，就用PHP原生的流式输出逻辑，核心原则是不把整个文件加载进PHP内存，避免内存占用过高、性能下降。

• 核心优化点：
  • 输出前清空所有层级的输出缓冲，避免PHP额外攒包占内存
  • 用fpassthru()或readfile()函数直接输出文件流，这两个函数是PHP内置的直出函数，不会将文件内容完整读入PHP变量，比手动fread循环读取性能高30%以上
  • 必须严格做路径校验，防止路径穿越读取服务器敏感文件
  • 正确设置MIME、缓存、文件长度头，减少重复请求
    代码示例：

<?php
// 鉴权逻辑
if (!check_user_auth()) {
    http_response_code(403);
    exit;
}

// 参数与路径校验
$allowed_ext = ['jpg', 'jpeg', 'png', 'gif'];
$img_name = $_GET['img'] ?? '';
$ext = strtolower(pathinfo($img_name, PATHINFO_EXTENSION));
$base_path = '/data/protected_images/'; // 替换为实际图片存储目录
$target_file = $base_path . $img_name;
if (!in_array($ext, $allowed_ext)
    || !preg_match('/^[a-zA-Z0-9_-]+\.('.implode('|', $allowed_ext).')$/', $img_name)
    || !is_file($target_file)
) {
    http_response_code(404);
    exit;
}

// 清空所有输出缓冲
while (ob_get_level()) ob_end_clean();

// 设置响应头
$mime_map = ['jpg'=>'image/jpeg','jpeg'=>'image/jpeg','png'=>'image/png','gif'=>'image/gif'];
header('Content-Type: ' . $mime_map[$ext]);
header('Content-Length: ' . filesize($target_file));
header('Cache-Control: public, max-age=2592000');
header('Last-Modified: ' . gmdate('D, d M Y H:i:s', filemtime($target_file)).' GMT');

// 流式直出文件
$fp = fopen($target_file, 'rb');
fpassthru($fp);
fclose($fp);
exit;

该方案不原生支持断点续传，需要额外处理Range请求头才能实现范围拉取，整体并发能力比第一梯队方案差60%以上，仅作为兼容方案使用。

禁止操作（会导致性能暴跌或功能异常） #

• 不要用GD、Imagick等图片处理库加载图片再输出，即使不做任何修改，这类库加载图片的内存开销是流式输出的几十上百倍，性能仅为直出方案的1%不到
• 不要用file_get_contents()将整个文件读入PHP变量后再echo，大图片会直接触发PHP内存上限报错，额外拷贝开销极大
• 不要在图片输出后附加任何多余内容，比如调试信息、BOM头、框架尾部输出，会导致图片文件损坏
• 不要省略参数校验逻辑，直接把用户传入的路径参数拼接到文件路径中，会造成路径穿越漏洞，泄露服务器敏感文件

内容的提问来源于stack exchange，提问作者Frank_G