Как определить картинку: Встроена в страницу или прямая ссылка?

Question

[Dopamine]

Доброго времени суток!
Попытаюсь объяснить свой вопрос... Мне необходимо определить, как картинка загружается в браузер, по прямой ссылке (URL картинки в адресной строке): (пример: site/file/pic/poll/2025/10/16/500.jpg) или картинка вставлена через тег в страницу.

Это мне нужно, чтобы при прямом обращении к картинке, запускать php код. Сейчас я делаю так:

# Права доступа к файлам (Прямое обращение)
    location ~* ^/file/(attachment|pic/(photo|poll|video))/(.*)\.(jpg|jpeg|gif|png)$  {
        # Проверка наличия файла до перехода на file.php
        set $file "$document_root/file/$1/$3.$4";
        if (!-f $file) {
            return 404;
        }

         #Переход к обработке PHP-скриптом
        rewrite ^/file/(.*)$ /file.php?file=$1 last;
    }
    # End: Права доступа к файлам (Прямое обращение)

Файл file.php запускается при совпадении. Беда в том, что файл запускается, как по прямому обращению к картинке, так и если картинка вставлена в страницу, через тег .

Как различать, как была загружена картинка в браузер, ума не приложу...
Надеюсь, я объяснил понятно.
Спасибо.

Answer 1

[Adamos]

https://nginx.org/en/docs/http/ngx_http_referer_mo...

Comments

[Dopamine]

Если я правильно понял вашу подсказку, то я делал так:

# Проверка заголовка Referer
    valid_referers none blocked server_names ~.site$;

    # Если Referer не соответствует домену, возвращаем 403
    if ($invalid_referer) {
        return 403;
    }

И это не помогло... Что картинки находятся, что страницы находятся на одном сайте.

[Adamos]

Dopamine, и что, собственно, означает первая строчка? Вот буквально первые два слова?

[Dopamine]

Не пойму... Я неправильно написал код?
Как правильно будет?

[Dopamine]

Сейчас подумал, что я неправильно понял
$invalid_referer и правильно будет делать так:

if ($invalid_referer) {
        # Если реферер неверный или отсутствующий, переадресовываем на file.php
        rewrite ^/file/(.*)$ /file.php?file=$1 last;
    }

И убрать none.
Как буду дома, у своего рабочего ПК, попробую.

[Adamos]

Dopamine, я же дал ссылку на документацию.
$invalid_referer проверяет, прошел ли реферер проверку valid_referers.
А у вас valid_referers none говорит, что пустой реферер (который будет при прямом вызове картинки) - ОК.

[Dopamine]

Adamos, да, я сразу не вник. Немного подумал и понял, что что то делаю не то. Через три часа буду у компа и перепроверю.

Спасибо!

[Dopamine]

Делаю так:

# Права доступа к файлам (Прямое обращение)
    location ~* ^/file/(attachment|pic/(photo|poll|video))/(.*)\.(jpg|jpeg|gif|png)$  {
        # Проверка наличия файла до перехода на file.php
        set $file "$document_root/file/$1/$3.$4";
        if (!-f $file) {
            return 404;
        }

        # Проверка реферера
        valid_referers blocked server_names ~.site$;
        if ($invalid_referer) {
            # Переход к обработке PHP-скриптом
            rewrite ^/file/(.*)$ /file.php?file=$1 last;
        }
    }
    # End: Права доступа к файлам (Прямое обращение)

И картинки идут через Nginx, до file.php не доходят...

Работает, через раз, так:
valid_referers server_names ~.site$;

[Alexander]

Dopamine, Лет 10+ таким не занимался. Но своими словами как делал ранее. Нужно было смотреть на рефер. Если картинка открывается на сайте, в вёрстке, она будет иметь рефер (адрес с которого пришёл пользователь на текущий вызов). Если рефера нет - открыли картинку в браузере в пустом окне. Если он не равен твоему домену, то можно показывать заглушку или ничего не показывать, выдавать ошибку. Так как открыли скорее всего на другом сайте/домене. Если же рефер есть и он равен твоему домену (или локалхост, если код у себя локально разрабатываешь и тестируешь), то надо отправлять на вызов твоего скрипта, либо условие которое проверяет тип "файла".
Вообще такое должно легко искаться в гугле. Так как в нулевых, когда дисковое пространство было дорогим, как и трафик, у хостеров. Такое многие делали у себя, чтоб "конкуренты" не встраивали твои картинки, себе в хтмл код, экономя на хранении картинок у себя. В своё время даже на этом погорело не мало новостных интернет изданий, когда владелец источника картинки, начинали заменять картинку. Даже в ИТ сообществе был "фейл года", когда владелец поменял на картинку с задницей с морковками из оной.
Поищи в интернете, в гугле, примеров правильной настройки nginx должны быть тысячи.

[Adamos]

Alexander, это все замечательно, но вы зачем-то рассказываете это в комментариях к ответу, в котором дана ссылка на документацию nginx именно по обработке реферера.
А в комментариях даже разжевано, что у ТС не так...

[Dopamine]

Alexander, я пытаюсь отфильтровать картинки (Что показывать, что нет) так как на сайте есть разделы, что создаются пользователями, только для себя и своего круга людей. И если я могу скрыть приватную страницу с картинками в ней, то по отдельности картинки можно просмотреть, введя адрес самой картинки. Вот и решил, что если делать контент приватным, то делать его до конца. А выяснить какую картинку необходимо скрыть, могу только в PHP. Возможно, скоро подумаю, что это все не нужно и уберу эти правки. Получится зря тратил время, зато получил какой то опыт!

На данный момент у меня так:

# Права доступа к файлам (Прямое обращение)
    location ~* ^/file/(attachment|pic/(photo|poll|video))/(.*)\.(jpg|jpeg|gif|png)$  {
        # Проверка наличия файла до перехода на file.php
        set $file "$document_root/file/$1/$3.$4";
        if (!-f $file) {
            return 404;
        }

        # Проверка реферера
        valid_referers server_names ~.site$;
        if ($invalid_referer) {
            # Переход к обработке PHP-скриптом
            rewrite ^/file/(.*)$ /file.php?file=$1 last;
        }
    }
    # End: Права доступа к файлам (Прямое обращение)

Пока работает. Думаю, как можно улучшить.

[Adamos]

Dopamine, скорее всего, придете к разделению картинок на публичные и приватные, будете выдавать приватные только через скрипты (реферер все-таки легко подделать), а это все пойдет в корзину.

[Alexander]

Adamos, Для понимания сути. Код/настройки же я не описывал. А без понимания смысла, тупое копирования кусков кода это не очень для понимания.

[Dopamine]

Adamos, возможно, что именно так и будет! Что уберу это всё... Но с чего то надо было отправиться к этому!
Спасибо за поддержку!

[Alexander]

@Slash-Zn, я пытаюсь отфильтровать картинки (Что показывать, что нет) так как на сайте есть разделы, что создаются пользователями, только для себя и своего круга людей. И если я могу скрыть приватную страницу с картинками в ней, то по отдельности картинки можно просмотреть, введя адрес самой картинки.

Такие картинки надо хранить в отдельной папке, на которую запрет для просмотра извне. Чтоб отдавало 403 при просмотре её хоть вызовом из вёрстки, хоть открыв чистую страницу. Средствами самим nginx. А для "публичных"(вёрстка та же или какие другие не под правилами картинки/файлы) картинок, оставить возможность вызова как угодно.

И уже в PHP, к которому есть доступ всем, определять сессию авторизированного пользователя. Смотреть на права запрашиваемой картинки, данные которые придётся хранить в БД. Ну и определять, запрошенный юзер имеет ли право смотреть эту картинку или не имеет. Если имеет, отдавать нужную картинку. Где сам ПХП вычитает файл с закрытой папки, к которым извне никто не имеет доступа, а вот локальные скрипты имеют. Если же не имеет доступа, то можно выдавать 403, можно генерировать картинку-заглушку "пользователь ограничил доступ" или что-то подобной. Ну или средствами php редиректнуть на страницу 403.
Ну или если права, настраиваемые пользователем, автором картинки "доступно всем", то не проверять авторизацию запрашиваемого файл. А проверять сначала права у картинки в БД.
З.Ы. Имена отображаемые пользователю, имена файлов картинки, как и путь, можно хранить в БД и делать его человекопонятным. А по факту хранить где угодно и как угодно, с любым неймингом. Просто в БД будет поле "отображаемое имя" и "фактический путь до файла". Так как подпапки делать всё таки правильно, а не складировать миллионы файлов в одной папке. Хотя бы по годам, месяцам и дням. Ну и вот ваш ПХП который вызывает запрос "/имг/вася_2000/котики.жпг", запросит БД, есть ли там такая картинка по первому полю. Найдёт запись. В ней посмотрит какой тип прав к ней. Далее может проверить ИД юзеров которым она доступна, может и через связи(друзей/участники групп). Ну и если запрашиваемый всё прошёл, то отдавать картинку, генерируя её отображение, взяв путь до фактического пути из второго поля в БД(которое может быть: "/приват/имг/юзерс/ид_12/2025/08/23/ываываываываыва.пнг").

И тут уже будет пофиг на подделку реферов. Основная проверку будет на стороне ПХП.