MERN栈图形图库应用如何安全存储付费图片资源？

核心原则：付费资源绝对不能放在对外可直接访问的静态目录下，所有访问请求必须经过后端鉴权，禁止暴露真实存储路径。

具体落地可以按以下优先级配置：

• 私有存储隔离
  把付费图片和免费静态资源拆分存储，不要放在同一台应用服务器的公开目录下。可以选择私有部署的MinIO服务，或者云服务商的对象存储产品，统一配置为私有读写权限，未携带合法签名的请求会被直接拦截，无法访问资源。数据库仅存储图片的唯一ID、权限归属、付费状态等元数据，不要存储真实的资源路径。
• 临时签名URL分发
  前端请求付费图片时不能直接请求资源地址，必须先走Express后端的鉴权接口，校验用户登录态、对应图片的购买权限，确认权限有效后，由后端调用存储服务的SDK生成有效期10~30分钟的临时签名URL返回给前端加载。
  简单的接口伪代码示例：

  // Express 路由示例
  app.get('/api/paid-resource/:imgId', userAuthMiddleware, async (req, res) => {
    const { imgId } = req.params
    const userId = req.user.id
    // 校验用户是否购买该图片
    const hasPermission = await checkPurchasePermission(userId, imgId)
    if (!hasPermission) return res.status(403).send('无访问权限')
    // 调用存储服务生成临时签名URL，过期时间设为15分钟
    const tempUrl = await privateStorage.getSignedUrl('getObject', imgId, 900)
    res.json({ url: tempUrl })
  })
  

  这种方案下，即使临时URL被用户复制分享，到期后就会自动失效，也不会泄露资源的真实存储地址。
• 附加安全防护
  1. 预览阶段仅返回带水印的低清压缩图，用户完成支付后才开放高清原图的临时链接，水印可以添加用户专属的暗水印，被盗用后可溯源
  2. 所有付费资源的访问请求全量留痕，记录用户ID、请求IP、访问时间，出现盗刷时可以快速排查
  3. 可以额外配置URL的访问IP限制，进一步降低链接泄露后的风险

内容的提问来源于stack exchange，提问作者nsog8sm43x