Skjule billeder for offentligheden

Den super-simple måde er at lave en tom index.php fil og ligge den i pictures-mappen.

jeg tror den bedste loesning vil vaere at lave en ny php script der henter billederne ud fra deres ID(hvis du har links i databasen). og viser dem til brugeren. Det er osse meget smart da du kan tjekke brugeren ved hjaelp af sessions.. Links til billeder vil dog vaere noget med: www.domain.com/pictures/showpic.php?ID=1231

sone: Den forhindrer ikke folk, der kender adressen i at linke til billedet (og få det set på den måde)

lillebror: Du kan nok få glæde af denne funktion: http://dk.php.net/manual/en/function.readfile.php

Nej, det vil man aldrig kunne forhindre hvis man kender ID - men nu ville han jo også bare spærre for dir-listing (som jeg læser det).

du lægger en .htaccess fil i roden af dit webhotel og den skal så se sådan ud

.htacces fil indhold

SetEnvIfNoCase Referer "^http://www\.ditdomæne\.dk/" local_ref=1
<FilesMatch "\.(gif|jpg)">
    Order Allow,Deny
    Allow from env=local_ref
</FilesMatch>

Husk at rette ditdomæne til din adresse, hvis ikke .dk så retter du også bare den.

Nu kan der ikke ses billeder uden de har et link fra en eller anden side fra dit webhotel, dvs. denne gør også at andre ikke kan linke fra deres sider.

:-)

Sone og g1um, i skyder i den grad ved siden af!

Sone:
Selvom man går ind på /pictures/ og ser en tom index fil, kan man jo sagtens gå ind på /pictures/hej.jpg og se et billedere

g1um:
Jeg tror du foreslår mig noget, som du ikke engang ved hvordan virker selv. Den måde det du viser der, er skruet sammen på, er netop at hente billederne udfra databasen, og det har jeg nævnt at jeg ikke er interesseret i.

sandbox:
Jeg har lidt på fornemmelsen at readfile() også bruges til at hente det ud af databasen.

Jeg vil hellere høre et forslag med htaccess, da jeg har på fornemmelsen at det er dét der virker.

du har forstaet mig helt forkert. Jeg ga ud fra at du har en database med links til billeder, og billederne ligger i mapper ikke direkte i mysql.

jeg synes personlig ikke at .htaccess  vil vaere den bedste losning for dig, da du stadig kan se billedet ved at skrive hele stigen.

Desværre nyst, det havde ikke den ønskede effekt.
Det var stadig muligt at se billedet hvis man linkede direkte, derimod ødelagde det muligheden for at man kunne se enkelte billeder gennem mit php script.

Kan det virkelig passe, at der ikke findes en .htaccess metode der gør det muligt for php at se billeder, men umuligt for direkte links? (Skal selvfølgelig kun gælde den mappe filen ligger i)

jeg glemte lige at sige at da filen er forhindret fra +Indexes(dvs Allow.Deny), kommer der en error i din apache_error.log. Har lige testet. 

[Mon Aug 23 14:42:44 2004] [error] [client 127.0.0.1] client denied by server configuration: /home/glum/www/pics/linux.gif

Du kan smide en .htaccess fil i dit \billed\ med:
<directory>
    Order Allow,Deny
    Deny from all
</directory>
Hvis du har billederne under en brugerkonto.

Ellers kan du placere filerne uden for www. - f.eks. har du:
\public_html\
\billeder\

Hvis du har billederne i \billeder\ så kan disse IKKE linkes eksternt fra.
$sti = "../../billeder/";
Du kan nu hente dem via PHP. <img src='$sti.$billed'>

Jeg har anvendt nedereste eksempel selv, og det virker!

g1um, jeg har mit link i databasen, og billedets navn består af 8 tilfældige, men gyldige tegn.

Jeg tror faktisk du ikke selv er klar over hvad du foreslår, for jeg ser ingen logik i din løsning, for den vil ikke fjerne muligheden for at linke direkte

ja hvis du bruger den jeg gav dig før så kan der ikke linkes eller skrives direkte i browseren

Med risikoen for at virke en anelse besværlig, så er det ikke helt det jeg beder om x4all_dk. Med din løsning kan jeg ikke vise billederne gennem php overhovedet, men rigtigt nok kan jeg heller ikke følge det direkte link.

Dit andet forslag vil kræve meget arbejde med at omstrukturere min kode, så jeg vil hellere helt undvære muligheden, hvis det er den eneste løsning der virker på min problemstilling.

Det jeg helst vil vide er: kan det lade sig gøre at smide en .htaccess fil ind i mapperne /pictures/ under hver af brugernes mapper, således at billederne kan læses af php, men ikke af et direkte link

lillebror: _jeg er helt positiv og klar over den her løsning_.  den php script som henter billeder fra en mappe som almindelig bruger ikke kender,  kan tjekke brugernes session. og hvis brugeren er "authentificeret" kan den visse billede (ved hjaelp af readfile), hvis ikke kan den vise en anden billede hvor der sta ("du har ikke adgang til at se billedet"). det er den her losning jeg selv bruger. og den virker.

ja du lægger den jeg skrev i hver mappe men med rettet link til mappe feks.

SetEnvIfNoCase Referer "^http://www\.ditdomæne\.dk/image1/" local_ref=1
<FilesMatch "\.(gif|jpg)">
    Order Allow,Deny
    Allow from env=local_ref
</FilesMatch>

eller

SetEnvIfNoCase Referer "^http://www\.ditdomæne\.dk/image2/" local_ref=1
<FilesMatch "\.(gif|jpg)">
    Order Allow,Deny
    Allow from env=local_ref
</FilesMatch>

osv

:-)

hvis du anvender feks .bmp billeder tilføjer ud i denne

<FilesMatch "\.(gif|jpg|bmp)">

nyst, din metode gør at man ikke kan få adgang via PHP, og heller ikke gennem direkte link, jeg vil gerne have adgang via PHP, men ikke via direkte link...

Det kan man ikke spærre for... enten kan en browser hente billedet (via eksakt URL) eller også kan den ikke

så må du uddybe 'adgang via php' !!!

Altså, når man kommer ind på pictures.php, så bliver det tjekket om man har rettigheder til at se billedet (Via en mysql database).

Hvis man har rettighederne, så får man vist billedet, hvis man ikke har så bliver billedet ikke vist.

Mit problem ligger så i, at hvis en person har rettighederne til at se et billede, så kan han tage det direkte link til billedet og sende det til hvem han har lyst, og de vil kunne se det. Det er DET jeg gerne vil undgå

hvis du har en mappe med en .php fil hvor der er link til et foto ellere noget grafik for den sags skyld i samme eller anden mappe, så kan der kun ses det foto der linkes til i .php-filen og der kan IKKE skrives i browseren.

Feks hvis du nu har en fotoserier foto01, foto02 osv til foto99.jpg,
så er det jo nemt at gætte hvis man har linket til foto01.jpg, men htaccess gør at du ikke kan skrive foto02.jpg hvis der ikke er linket til det i .php-filen.

jamen det er jo en helt anden snak, så skal du lave noget der checker den enkeltes IP-adresse og kun give adgang for den og ikke andre, det er jo så ikke sleve billedet du skal beskytte men brugeren til din mappe og kun give adgang for hans IP og her hjælper det ikke at lave password osv. det skal være Ip eller funker det ikke.

nyst, mine filer er ikke nummererede, derfor gætter folk sig ikke bare frem til billederne, de er nødt til at kende en der har adgang, for at kunne se billedet.

Jeg ville bare gerne undgå, at man kunne dele billederne så nemt med folk, hvis man har fået adgang til nogle private billeder. Det lyder desværre som om min problemstilling er umulig at løse som den er lige nu.

Smid et svar, så deler vi pointene

ok, men tænk på IP-løsning, dog kan du ikke forhindre at der deles ud, vedkommende kan jo bare gemme selve fotoet og lægge ud eller sende *S*

eller prøv at kigge på denne side:

http://apache-server.com/tutorials/ATimage-theft.html

Den er ikke umulig, og du har brug for både en .htaccess og readfile(). Og det kræver faktisk ikke engang så meget ændring i din eksisterende kode.

På din almindelige side skal du bruge session_start(); et sted i toppen af filen. (Før udskrift og html-koder og alt sådan noget.)

Så skal du sætte en session-variabel: $_SESSION['vis_billed']=true;

Dine billedlink skal pege på visbilled.php?id=$id hvor du bruger id-nummeret fra databasen - eller hvis alle billederne ligger i samme mappe kan du også bruge filnavnet.

Så skal visbilled.php se nogenlunde således ud:

<?php

if(isset($_SESSION['vis_billed']) && $_SESSION['vis_billed']===true){
  // Kontroller om det er et gyldigt filnavn eller slå filnavn op i DB.
  header("Content-Type: image/jpeg");
  readfile("/sti/til/billedmappe/" . $filnavn);
} else {
  header("HTTP/1.0 403 Forbidden");
  ?>
    <html>
    <head><title>403 Forbidden</title><head>
    <body><p>Du kan kun se billedet fra sider på samme server.</p></body>
    </html>
  <?php
}

?>