Yan169

Я немного не понял, в какой момент будет генерироваться md5-токен?

В html-коде страницы будет
[img src="image.100x100.jpg"/]
или
[img src="image.100x100.jpg{md5(...)}"/]
?

Если первое (md5 генерируется на пути от http-запроса до скрипта превью), то никакой защиты по сути нет.

Если второе (md5 генерируется в момент волеизъявления использования изображения в какой-либо части сайта — создание шаблона, документа и т.п.), то что мешает вместо генерирования md5 создать в этот момент необходимое превью?

Вариант кусок в 64 бита от 128 бит не рассматривается.

А почему?
На сколько я знаю, благодаря лавинному эффекту, которым обладает md5, хэш в виде 64 бит от md5 будет обладать теми же свойствами, что и весь md5, за исключением, собственно, разрядности.
И XOR первой половины со второй никакой полезной нагрузки не несёт.
Если не прав, поправьте.