如何安全地为登录用户动态显示其专属广告图片-php教程-PHP中文网

如何安全地为登录用户动态显示其专属广告图片

本文讲解如何修改 php 用户广告页，使其仅显示当前登录用户的上传图片，通过数据库查询过滤与安全文件访问机制双重保障数据隔离。

本文讲解如何修改 php 用户广告页，使其仅显示当前登录用户的上传图片，通过数据库查询过滤与安全文件访问机制双重保障数据隔离。

在您当前的 userads.php 页面中，核心问题在于 SQL 查询未对用户身份进行限制：

SELECT * FROM images ORDER BY id DESC LIMIT 5

该语句无条件拉取全部图片，导致所有用户都能看到服务器上任意人的广告图——这既是逻辑漏洞，也存在严重的隐私与安全风险。

✅ 正确做法：按登录用户 ID 过滤 + 安全图片访问

1. 确保用户已登录并获取其唯一标识

在页面顶部加入会话验证（假设您使用 $_SESSION 管理登录状态）：

<?php session_start();
if (!isset($_SESSION['user_id'])) {
    header('Location: login.php');
    exit;
}
$user_id = (int)$_SESSION['user_id'];
?>

2. 修改数据库查询：只查该用户上传的图片

替换原 $query 语句为带 WHERE user_id = ? 条件的安全预处理查询（防 SQL 注入）：

<?php include_once 'dbConfig.php';
include 'text.php';

// 使用预处理语句确保安全
$stmt = $db->prepare("SELECT * FROM images WHERE user_id = ? ORDER BY id DESC LIMIT 5");
$stmt->bind_param("i", $user_id);
$stmt->execute();
$query = $stmt->get_result();
?>

⚠️ 注意：请确认您的 images 表中包含 user_id 字段（类型为 INT），且在用户上传图片时已正确写入该字段值。若字段名为 uploader_id 或其他，请同步调整。

3. 修复前端变量缺失问题

原代码中 $product、$description 等变量未定义，应从 $row 中读取对应字段：

<h5 class="card-title">Name: <?php echo htmlspecialchars($row['product_name'] ?? 'N/A'); ?>
</h5>
<h5 class="card-text">Description: <?php echo htmlspecialchars($row['description'] ?? ''); ?>
</h5>
<h5 class="card-text">Price: ₦<?php echo number_format($row['price'] ?? 0, 2); ?>
</h5>
<h5 class="card-text">Contact: <?php echo htmlspecialchars($row['phone'] ?? 'N/A'); ?>
</h5>

4. 【关键安全升级】禁止直接暴露图片路径

原代码使所有图片可被任意 URL 访问，违背最小权限原则。必须改用受控脚本（如 download.php）校验权限后再输出文件。

✅ 推荐 image_proxy.php（更贴合图片展示场景，非下载）：

<?php // image_proxy.php —— 安全输出图片（不强制下载）
session_start();
if (!isset($_SESSION['user_id'])) {
    http_response_code(403);
    exit('Access denied.');
}

include_once 'dbConfig.php';

$image_id = (int)($_GET['id'] ?? 0);
$user_id = (int)$_SESSION['user_id'];

$stmt = $db->prepare("SELECT file_name, mime_type FROM images WHERE id = ? AND user_id = ?");
$stmt->bind_param("ii", $image_id, $user_id);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows === 0) {
    http_response_code(404);
    exit('Image not found or access denied.');
}

$row = $result->fetch_assoc();
$filepath = 'uploads/' . $row['file_name'];

if (!file_exists($filepath)) {
    http_response_code(404);
    exit('File missing on server.');
}

// 输出图片（保持浏览器内联显示）
header('Content-Type: ' . ($row['mime_type'] ?: 'image/jpeg'));
header('Cache-Control: public, max-age=31536000');
readfile($filepath);
exit;
?>

然后在 userads.php 中更新标签：

<img src="image_proxy.php?id=<?php%20echo%20%24row['id'];%20?>" alt="<?php echo htmlspecialchars($row['product_name'] ?? ''); ?>"    style="max-width:90%"   style="max-width:90%">