如何避免在运行php的Apache Server中向公众显示未经授权的资源?

简单的方法:在会话中使用php来存储图像 外部的 公共目录,并使用php脚本获取图像,同时验证用户。

**getimg.php**
session_start();
if ($_SESSION['okToViewImage']) {
  $fn = $_GET['fn'];
  $type = explode('.',$fn);
  header('content-type: image/' . $fn[1]); 
  echo file_get_contents('dirOutsideWWWpubScope/'. $fn);
}

脸书需要身份验证(他们检查你的用户名和密码)和授权(他们检查图片是否公开,或者图片是给朋友的朋友的,而你是朋友的朋友,等等),然后他们才会给你图片链接。

为了避免您所描述的情况,您需要在提供图像之前执行与提供URL之前相同的auth/authz。

在PHP领域,通常通过将图像存储在webroot之外,然后仅通过PHP脚本(执行auth/authz,设置适当的内容类型头,然后读取图像的字节并将其输出到服务器以传递给浏览器)来实现对图像的包括这种保护。