Como asegurar imagenes en una aplicación

[sofway]

Buenas tardes,

Desarrollo un sistema en el cual hay diferentes usuarios que pueden subir imagenes para visualizarlas en una galería. La idea es que todas las imagenes van a dar en alguna ubicación del servidor, y se supone que un usuario no puede poder acceder a las imagenes de otro usuario. Las imagenes subidas, son renombradas por PHP con un numero de secuencia, y facilmente un usuario podria ver a que url se hace la peticion de las imagenes, y modificando el nombre tambien podria acceder a las fotos de otro.

QUe metodo sugieren para tener estas galerias de manera segura?

Gracias

[jabundio]

Yo estoy exactamente con el mismo tema que tu.

Sigo pensando alguna solucion; la unica que se me ocurre es meter las fotos dentro de un directorio protegido por htacces que impida el acceso directo mediante URL.

Por otrol lado las peticiones de imagenes llegan a una pagina php (por ejemplo imagenes.php?imagen=0001) que puede comprobar la session y obtener la ruta de las imagenes para ese usuario; leer el fichero de la imagen y mostrarla.

Este sistema no me gusta porque veo que es dar carga al servidor, y ademas esto mismo habria que hacer para las miniaturas.

Si alguien tiene alguna otra idea

[hector2c]

otra opción, la mas segura, es almacenarla en la bd, cosa que al momento de generar la imagen, en la cabecera podemos agregar algun tipo de validador de usuario, en caso no sea el usuario indicado simplemente redireccione a otra página.

para mas informacion puedes leer este aporte

si tienes almacenada la imagen, pues, con ese registro puedes aplicar la cantidad de validadores que desees, y no te das mas problemas....

[GatorV]

Otra opción es poner las imagenes en un directorio arriba de tu "webroot" para que no se puedan leer por URL, y con PHP leer y mostrar la imagen.

Saludos.

[jabundio]

ese es parecido al que yo habia pensado

por otro lado lo de guardar las imagenes en la base de datos no me gusta demasiado.mientras mas cosas puedan estar fuera de la base de datos mejor (asi se evita lentitud, fallos de conexion, limite de conexiones simultaneas, etc.)

[Ronruby]

No necesariamente tienes que guardar la imagen perse en la base de datos.
Solo guarda la RUTA a dicha imagen.

[sofway]

Iniciado por GatorV

Otra opción es poner las imagenes en un directorio arriba de tu "webroot" para que no se puedan leer por URL, y con PHP leer y mostrar la imagen.

Saludos.

GatorV como siempre tu solucion me parece la mas intersante. Pero algo no me queda claro. Al ubicarlas por fuera del webroot, como la publico en la pagina? finalmente siempre por debajo del navegador, la peticion GET se debe hacer a un lugar publico. Me imagino que seria pasando temporalmente la imagen a una ubicacion publica.

Me podrias aclarar esto un poco mas??

Mil gracias por sus aportes.

[GatorV]

Usas un script pass-thru, es decir un PHP donde leas la imagen, en este PHP compruebas que el usuario sea valido para ver la imagen y en caso contrario le puedes mostrar otra imagen.

Saludos.

[sofway]

Iniciado por GatorV

Usas un script pass-thru, es decir un PHP donde leas la imagen, en este PHP compruebas que el usuario sea valido para ver la imagen y en caso contrario le puedes mostrar otra imagen.

Saludos.

y en caso de que si este autorizado como muestro ma imagen?? osea, finalmente cuando imprimo la imagen, cual seria el src??

gracias

[GatorV]

el src lo apuntas al script PHP y usas header() junto con las funciones de acceso a archivo para leer e imprimir al fichero.

Saludos.

[sofway]

Iniciado por GatorV

el src lo apuntas al script PHP y usas header() junto con las funciones de acceso a archivo para leer e imprimir al fichero.

Saludos.

mmmm gator me podrias dar un ejemplo pequeno?? lo que entiendo es que con las funciones de acceso a archivo copiaria temporalmente la imagen en una carpeta publica para despues borrarse.

[GatorV]

No necesariamente, solamente lees el archivo de la fuente y lo pasas por el script, algo mas o menos asi:

Código PHP:

  $fh = fopen( '/storage/archivo.jpg', 'r' );
header( "Content-type: image/jpeg" );
fpassthru( $fh ); 
   

y desde la etiqueta:

Código HTML:

<img src="archivo.php"> 

Saludos.