本文介绍在用户身份验证前提下，以最高性能方式将服务器内部目录中的 JPG/PNG/GIF 图片（不修改、不压缩）直接流式传输至浏览器的完整实践方案，重点推荐 readfile() + 正确 MIME 头的原生文件输出模式。
本文介绍在用户身份验证前提下，以最高性能方式将服务器内部目录中的 jpg/png/gif 图片（不修改、不压缩）直接流式传输至浏览器的完整实践方案，重点推荐 `readfile()` + 正确 mime 头的原生文件输出模式。
在 Web 应用中，常需保护用户专属图片资源（如头像、证件照、私有相册），使其不可被未授权用户通过 URL 直接访问。此时，图片通常存放在 Web 根目录之外（如 ../private/images/），并通过后端脚本动态响应请求。最高效、最符合 HTTP 语义的实现方式，是避免内存加载与编码转换，直接以二进制流方式将原始文件内容输出至响应体。
✅ 推荐方案：readfile() + 显式 MIME 头（零拷贝、低内存、高吞吐）
<?php
// download.php —— 安全、高性能图片代理入口
session_start();
// 1. 强制身份验证（示例：检查登录态）
if (!isset($_SESSION['user_id'])) {
http_response_code(403);
exit('Access denied.');
}
// 2. 安全解析图片标识（严禁直接拼接路径！）
$id = filter_input(INPUT_GET, 'id', FILTER_SANITIZE_NUMBER_INT);
if (!$id || $id < 1) {
http_response_code(400);
exit('Invalid image ID.');
}
// 3. 白名单映射（防止路径遍历 & 确保文件存在且合法）
$allowed_images = [
12 => '/var/www/private/images/photo_12.jpg',
45 => '/var/www/private/images/avatar_45.png',
78 => '/var/www/private/images/logo_78.gif',
];
if (!isset($allowed_images[$id])) {
http_response_code(404);
exit('Image not found.');
}
$file = $allowed_images[$id];
// 4. 验证文件存在、可读、且为支持的图片类型
if (!is_readable($file) || !in_array(pathinfo($file, PATHINFO_EXTENSION), ['jpg', 'jpeg', 'png', 'gif'], true)) {
http_response_code(404);
exit('Image unavailable.');
}
// 5. 输出标准 HTTP 头（关键：禁止缓存敏感内容，或按需设置 Cache-Control）
header('Content-Type: ' . mime_content_type($file));
header('Content-Length: ' . filesize($file));
header('Content-Disposition: inline; filename="' . basename($file) . '"');
header('Cache-Control: no-store, no-cache, must-revalidate, max-age=0');
// 6. 流式输出原始文件（零内存拷贝，PHP 内部直接 sendfile 优化）
readfile($file);
exit;前端调用方式简洁自然，完全兼容 <img> 原生行为：
<img src="download.php?id=12" alt="User photo" loading="lazy">
⚠️ 重要注意事项：
- 绝对禁止使用 $_REQUEST['id'] 直接拼接文件路径（如 "../images/" . $_GET['id']），极易导致路径遍历漏洞（id=../../../etc/passwd）；
- 必须通过白名单或数据库查询严格映射 ID → 绝对路径，配合 is_readable() 双重校验；
- mime_content_type() 比基于扩展名的硬编码更安全（防伪造 .jpg 实际为 PHP 脚本）；
- 若需支持大图或高并发，可进一步结合 ob_end_clean() 清理输出缓冲，并确保 Web 服务器（如 Nginx）启用 X-Accel-Redirect（PHP-FPM 场景）实现内核级零拷贝。
❌ 不推荐方案：Base64 编码嵌入 JSON
虽然可通过 base64_encode(file_get_contents($file)) 将图片转为字符串并返回 JSON，再由 JS 设置 img.src，但该方式存在显著缺陷：
立即学习“PHP免费学习笔记（深入）”；
- 性能极差：图片体积膨胀约 33%，增加带宽与解析开销；
- 内存爆炸：file_get_contents() 将整个文件载入内存，10MB 图片即占用 13MB+ RAM；
- 破坏缓存：Data URL 无法被浏览器缓存，每次请求均重复传输；
- 无流式能力：无法支持渐进式加载、loading="lazy" 等现代特性。
仅当必须通过同一 JSON 接口批量返回元数据+小图标（< 2KB）时，才可谨慎考虑 Base64，绝非“高性能”方案。
总结
对静态、未经处理的私有图片，readfile() 是 PHP 中性能最优、最轻量、最符合 HTTP 协议的设计选择。它绕过 PHP 用户态内存缓冲，由底层系统调用（如 sendfile()）直接将文件描述符内容送入 socket，CPU 与内存开销趋近于零。配合严谨的权限控制与路径白名单，即可在保障安全的前提下，达成毫秒级响应与万级 QPS 的稳定服务能力。
