Bilder schützen

[LittleGee]

Hi!

Ich mache mir gerade Gedanken darum um Bilder zu schützen.

Also folgender Fall:
Bild abc.jpg ist auf www.example.com sichtbar.
Das Bild soll nur von example.com erreichbar sein.

Folgende Dinge fielen mir ein:
1) Per htaccess einfach prüfen ob der Referer auch example.com ist. Hier bekam ich aber den Einwand eines Bekannten, der meinte das Firewalls mitunter auch den Referer unterdrücken. Wollte hierzu mal weitere Meinungen einholen.

2) Loginprüfung beim Bild
Mittels einer show.php schaue ich ob der User eingeloggt ist und gebe dann über readfile() das Bild aus. Aber hier wird doch doppelter Traffic erzeugt oder nicht? Einmal das Einlesen des Bildes, und dann die Ausgabe an den User.

Was würdet ihr in so einem Fall machen? Bin auf eure Ideen gespannt.

mfg

[unset]

Ersteres ist quatsch, weil man Referer fälschen kann. Das sind halt Benutzer-Daten, denen man nicht vertrauen kann.

Zweiteres ist insofern Blödsinn, dass bei readfile kein Netzwerktraffic entsteht, wenn du von der Platte liest.

Ansonsten hast du dir die Frage schon selbst beantwortet.

[pekka]

2) ist gut.

[PHP-Desaster]

Wenn du dann auch einen Last-Modified und einen ETag-Header mitschickst und entsprechend bei einer Anfrage auswertest, dann ist 2) ganz gut.

[LittleGee]

Danke für eure Antworten! Dann werde ich mich mit Thema 2) auseinandersetzen.

mfg

[lennart]

Original geschrieben von PHP-Desaster
[...]und einen ETag-Header mitschickst [...]

Kannte ich noch garnicht. http://de.wikipedia.org/wiki/HTTP_ETag

[pekka]

Original geschrieben von lennart
Kannte ich noch garnicht. http://de.wikipedia.org/wiki/HTTP_ETag

Ich auch nicht!
Sieht interessant aus.
Kennt jemand näheres zum Praxiseinsatz, etwa einen guten Artikel?

[wahsaga]

ETag ist eigentlich ueberfluessig, wenn's ums Caching geht - und insb. dann, wenn er aus dem Inode generiert wird, sogar manchmal eher schaedlich, weil dann auch Faktoren einfliessen, die eine Aenderung suggerieren, auch wenn sich am eigentlichen Inhalt der Ressource Nullkommanix geaendert hat.

Also wenn man selber Caching fuer PHP-generierte Ressourcen implementieren will, dann reicht Last-Modified und Beruecksichtigung von If-Modified-Since Request-Headern m.E. vollkommen aus.