Защита от бесконтрольного создания картинок?

Question

[Ян Александров]

Использую библиотеку для генерации изображений. К обычному урл дописываются get параметры. На их основе создаются уменьшенные копии оригинального изображения. При обращении по пути:
https://путь/к/картинке.jpg?w=100&h=100 создаётся папка с именем 100*100 и туда генерируется картинка с соответствующим размером. При повторном обращении картинка уже отдаётся из папки.

Как можно организовать защиту, чтобы злоумышленник не мог создавать картинки, просто отправляя запросы? При этом желательно не ограничивать пользователя предустановленными размерами.

Comments

[FanatPHP]

а что - злоумышленники замучали?

[Сергей Соколов]

чем злоумышленник отличается от юзера?

[Ян Александров]

Сергей Соколов, тем что юзер не отправляет запросы в цикле не понятно откуда.

[Иван Шумов]

За чем тут php если это шустро умеет nginx с установленным модулем для ресайза картинок. Работает как пулемет

[Сергей Соколов]

Ян Александров, т.е. известно, откуда отправлять запросы можно? – если не исходящие IP, то referer? Картинки грузятся только в веб-страницы, или как угодно?

[Ян Александров]

Иван Шумов, да, это хорошо, не у всех стоит nginx.

Answer 1

[Александр Талалаев]

Гуглите "Rate Limiting" для вашего фреймворка, библиотеки, возможно на уровне веб сервера или чего ещё. И постройте логику приложения так, что если нужно отдавать не статитку, то условно свободно, а если генерировать, то тут ограничения. Обычно это делается на одно условное устройство/пользователя и/или отдельно на отдельный роут/операцию/функцию.
Ну например, на пользователя 5 раз в секунду, на роут генерации картинки 100 раз в секунду, если больше любого лимита, возвращай код 429.

Comments

[Ян Александров]

Спасибо, годная идея.

[FanatPHP]

дадад, вот у него галерея на 20 картинок, и этот говноскрипт авторесайзер
и несчастный юзер пытается получить себе 20 превьюшек

[Александр Талалаев]

FanatPHP, пример же условный, всё оттачивается уже на конкретных сценариях и тп. Потом даются реокмендации и тп. Более того, саму генерацию картинок можно и делать отложено после загрузки, зная популярные форматы что будут использоваться..
Ну короче, дальше уже дело касается конкретных сценариев работы.

Answer 2

[Армянское Радио]

Идентифицировать пользователя и вводить ограничение на количество конвертаций.

Для разных категорий - разная степень жесткости ограничений - например, если залогинен по верифицированному акку на госуслугах - мало ограничений (10k запросов в сутки), если это куча запросов с ip, находящегося в списке выходных нод TOR - 1 запрос в сутки, дальше - капча.

Comments

[FanatPHP]

и конкурсы интересные

Answer 3

[FanatPHP]

Вопрос из серии "дурная голова ногам покою не даёт".

Очередная дурь, которая исходит из нелепых фантазий (с какой стати пользователю задавать размер картинки), и воображаемых угроз (сайта нету, картинок нету, злодеев не видно, но сало надо перепрятать!) реализация которой затруднит жизнь нормальным пользователям и вообще никак не остановит шкодливого пятиклассника.

Ответы тоже, тостер-стайл: "я вообще не доктор, я сантехник, но вот моё икспертное мнение..."

В общем, если это сервис по генерации картинок в разных размерах, то тупо лимит на юзера, плюс кэшировать только стандартные размеры.
Если это обычная галерея, то забыть про дебильную генерацию на лету и делать все размеры сразу при загрузке.

Comments

[John Didact]

Вы с Вовкой Соловьёвым, ака соловьиный помёт, не родственники случайно?

Answer 4

[Ivan Brezhnev]

Например, в imgproxy для защиты, используется подпись URL с помощью HMAC https://docs.imgproxy.net/#/signing_the_url. Вы можете поступить похожим образом

Comments

[Ivan Brezhnev]

Но при этом URL приобретает не очень дружелюбный вид

https://example.com/hello/fill/300/400/sm/0/aHR0cDovL2V4YW1w/bGUuY29tL2ltYWdl/cy9jdXJpb3NpdHku/anBn.png

Answer 5

[Vladislav]

А зачем их сохранять ?!
Преобразуй в base64 и отдавай в этом формате пользователю.
А браузер сам уже разберется что с ней делать и нормально отобразит.
Не нужно их сейвить.

У тебя есть только оригинал картинки и далее ты при изменении размера отдаешь пользователю картинку в формате base64, её так же можно будет и сохранить и подставить куда хочешь.

Можно даже без base64 тупо в blob только в заголовках это сказать браузеру:

header("Content-type: image/gif");
$img = file_get_contents('image.jpg');
echo $img;