如何安全地为登录用户动态展示其专属广告图片-php教程-PHP中文网

如何安全地为登录用户动态展示其专属广告图片

本文介绍如何修改 php 用户广告页，使其仅显示当前登录用户的上传图片，避免越权访问；核心方案是通过会话校验 + 用户 id 过滤查询 + 安全文件代理（download.php），彻底解决图片泄露风险。

本文介绍如何修改 php 用户广告页，使其仅显示当前登录用户的上传图片，避免越权访问；核心方案是通过会话校验 + 用户 id 过滤查询 + 安全文件代理（download.php），彻底解决图片泄露风险。

要实现“用户广告页（userads.php）仅显示当前登录者本人上传的广告图片”，关键在于身份绑定、数据隔离与资源保护三重机制。您原始代码中使用 SELECT * FROM images ORDER BY id DESC LIMIT 5 全表查询，完全未关联用户身份，导致所有用户看到相同内容——这是典型的安全疏漏。

✅ 正确做法：三步重构

1. 确保用户已登录并获取其 ID

在 userads.php 开头必须验证会话有效性，并从中提取当前用户唯一标识（如 user_id）：

<?php session_start();
if (!isset($_SESSION['user_id'])) {
    header('Location: login.php');
    exit;
}
$user_id = (int)$_SESSION['user_id']; // 强制类型转换防注入
?>

2. 修改数据库查询：按 user_id 过滤

将原始无条件查询替换为带用户约束的 SQL，确保只拉取该用户上传的记录：

<?php include_once 'dbConfig.php';
include 'text.php';

// ✅ 安全查询：仅获取当前用户广告（假设 images 表含 user_id 字段）
$query = $db->prepare("SELECT * FROM images WHERE user_id = ? ORDER BY id DESC LIMIT 5");
$query->bind_param("i", $user_id);
$query->execute();
$result = $query->get_result();

if ($result->num_rows > 0) {
    while ($row = $result->fetch_assoc()) {
        $imageURL = 'download.php?id=' . (int)$row['id']; // 指向安全代理脚本
        $product     = htmlspecialchars($row['product'] ?? '');
        $description = htmlspecialchars($row['description'] ?? '');
        $price       = htmlspecialchars($row['price'] ?? '');
        $phone       = htmlspecialchars($row['phone'] ?? '');
?>
        <div class="card shift-down" style="display:inline-flex; width:150px; margin:30px;">
            <img src="<?php%20echo%20%24imageURL;%20?>" alt="Ad image"    style="max-width:90%"   style="max-width:90%"><div class="card-block" style="background:#efefef;">
                <h5 class="card-title">Name: <?php echo $product; ?>
</h5>
                <h5 class="card-text">Description: <?php echo $description; ?>
</h5>
                <h5 class="card-text">Price: ₦<?php echo $price; ?>
</h5>
                <h5 class="card-text">Contact: <?php echo $phone; ?>
</h5>
            </div>
        </div>
<?php }
} else { ?><p>No ads found for your account.</p>
<?php } ?>

⚠️ 注意事项：

假设 images 表结构包含 user_id 字段（若为外键关联 ads 表，请相应 JOIN 查询）；

使用 htmlspecialchars() 防止 XSS；

使用 mysqli::prepare() 防止 SQL 注入（比拼接字符串更安全）；

图片 src 不再直链 uploads/xxx.jpg，而是指向 download.php?id=123 —— 这是安全核心。

3. 创建安全图片代理：`download.php`

该脚本不对外暴露真实路径，且强制校验用户权限，是防止越权下载的关键屏障：

<?php // download.php —— 安全图片代理入口
session_start();

if (!isset($_SESSION['user_id'])) {
    http_response_code(403);
    die('Access denied.');
}

require_once 'dbConfig.php';

$id = (int)($_GET['id'] ?? 0);
if (!$id) {
    http_response_code(400);
    die('Invalid request.');
}

// ✅ 双重校验：图片存在 + 属于当前用户
$stmt = $db->prepare("SELECT file_name, original_name FROM images WHERE id = ? AND user_id = ?");
$stmt->bind_param("ii", $id, $_SESSION['user_id']);
$stmt->execute();
$result = $stmt->get_result();

if (!$result || $result->num_rows === 0) {
    http_response_code(404);
    die('Image not found or access denied.');
}

$row = $result->fetch_assoc();
$filePath = 'uploads/' . $row['file_name'];

if (!file_exists($filePath)) {
    http_response_code(404);
    die('File no longer exists on server.');
}

// 设置响应头，以流式输出图片（非下载）
header('Content-Type: image/' . pathinfo($filePath, PATHINFO_EXTENSION));
header('Content-Length: ' . filesize($filePath));
header('Cache-Control: public, max-age=31536000'); // 长期缓存（可选）

readfile($filePath);
exit;
?>

✅ 优势说明：

图片物理路径 uploads/ 仍可被 Web 访问，但因 download.php 的权限校验，未登录或非属主用户无法获取有效 URL；

若需更高安全性，可将 uploads/ 移至 Web 根目录之外，并在 download.php 中用绝对路径读取（推荐）；

此设计天然支持未来扩展：如添加审核状态（status='approved'）、过期时间等字段过滤。

? 总结

实现用户专属广告页不是简单加个 WHERE user_id = ?，而是一套完整权限控制链：
? 会话可信 → ? 查询隔离 → ? 资源代理。
跳过任一环节（如漏校验 session、直曝文件路径、未预编译 SQL），都可能引发数据越权或注入风险。务必同步检查数据库表结构是否包含 user_id 字段，若缺失，请先迁移添加并更新上传逻辑以写入该字段。