本文介绍如何修改 php 用户广告页，使其仅显示当前登录用户的上传图片，避免越权访问；核心方案是通过会话校验 + 用户 id 过滤查询 + 安全文件代理（download.php），彻底解决图片泄露风险。
本文介绍如何修改 php 用户广告页，使其仅显示当前登录用户的上传图片，避免越权访问；核心方案是通过会话校验 + 用户 id 过滤查询 + 安全文件代理（download.php），彻底解决图片泄露风险。
要实现“用户广告页（userads.php）仅显示当前登录者本人上传的广告图片”，关键在于身份绑定、数据隔离与资源保护三重机制。您原始代码中使用 SELECT * FROM images ORDER BY id DESC LIMIT 5 全表查询，完全未关联用户身份，导致所有用户看到相同内容——这是典型的安全疏漏。
✅ 正确做法：三步重构
1. 确保用户已登录并获取其 ID
在 userads.php 开头必须验证会话有效性，并从中提取当前用户唯一标识（如 user_id）：
<?php
session_start();
if (!isset($_SESSION['user_id'])) {
header('Location: login.php');
exit;
}
$user_id = (int)$_SESSION['user_id']; // 强制类型转换防注入
?>2. 修改数据库查询：按 user_id 过滤
将原始无条件查询替换为带用户约束的 SQL，确保只拉取该用户上传的记录：
<?php
include_once 'dbConfig.php';
include 'text.php';
// ✅ 安全查询：仅获取当前用户广告（假设 images 表含 user_id 字段）
$query = $db->prepare("SELECT * FROM images WHERE user_id = ? ORDER BY id DESC LIMIT 5");
$query->bind_param("i", $user_id);
$query->execute();
$result = $query->get_result();
if ($result->num_rows > 0) {
while ($row = $result->fetch_assoc()) {
$imageURL = 'download.php?id=' . (int)$row['id']; // 指向安全代理脚本
$product = htmlspecialchars($row['product'] ?? '');
$description = htmlspecialchars($row['description'] ?? '');
$price = htmlspecialchars($row['price'] ?? '');
$phone = htmlspecialchars($row['phone'] ?? '');
?>
<div class="card shift-down" style="display:inline-flex; width:150px; margin:30px;">
<img src="<?php echo $imageURL; ? alt="如何安全地为登录用户动态展示其专属广告图片" >" alt="Ad image" width="300" style="max-width:90%" />
<div class="card-block" style="background:#efefef;">
<h5 class="card-title">Name: <?php echo $product; ?></h5>
<h5 class="card-text">Description: <?php echo $description; ?></h5>
<h5 class="card-text">Price: ₦<?php echo $price; ?></h5>
<h5 class="card-text">Contact: <?php echo $phone; ?></h5>
</div>
</div>
<?php
}
} else { ?>
<p>No ads found for your account.</p>
<?php } ?>⚠️ 注意事项：
- 假设
images表结构包含user_id字段（若为外键关联ads表，请相应 JOIN 查询）；- 使用
htmlspecialchars()防止 XSS；- 使用
mysqli::prepare()防止 SQL 注入（比拼接字符串更安全）；- 图片
src不再直链uploads/xxx.jpg，而是指向download.php?id=123—— 这是安全核心。
3. 创建安全图片代理：download.php
该脚本不对外暴露真实路径，且强制校验用户权限，是防止越权下载的关键屏障：
<?php
// download.php —— 安全图片代理入口
session_start();
if (!isset($_SESSION['user_id'])) {
http_response_code(403);
die('Access denied.');
}
require_once 'dbConfig.php';
$id = (int)($_GET['id'] ?? 0);
if (!$id) {
http_response_code(400);
die('Invalid request.');
}
// ✅ 双重校验：图片存在 + 属于当前用户
$stmt = $db->prepare("SELECT file_name, original_name FROM images WHERE id = ? AND user_id = ?");
$stmt->bind_param("ii", $id, $_SESSION['user_id']);
$stmt->execute();
$result = $stmt->get_result();
if (!$result || $result->num_rows === 0) {
http_response_code(404);
die('Image not found or access denied.');
}
$row = $result->fetch_assoc();
$filePath = 'uploads/' . $row['file_name'];
if (!file_exists($filePath)) {
http_response_code(404);
die('File no longer exists on server.');
}
// 设置响应头，以流式输出图片（非下载）
header('Content-Type: image/' . pathinfo($filePath, PATHINFO_EXTENSION));
header('Content-Length: ' . filesize($filePath));
header('Cache-Control: public, max-age=31536000'); // 长期缓存（可选）
readfile($filePath);
exit;
?>✅ 优势说明：
- 图片物理路径
uploads/仍可被 Web 访问，但因download.php的权限校验，未登录或非属主用户无法获取有效 URL；- 若需更高安全性，可将
uploads/移至 Web 根目录之外，并在download.php中用绝对路径读取（推荐）；- 此设计天然支持未来扩展：如添加审核状态（
status='approved'）、过期时间等字段过滤。
? 总结
实现用户专属广告页不是简单加个 WHERE user_id = ?，而是一套完整权限控制链：
? 会话可信 → ? 查询隔离 → ? 资源代理。
跳过任一环节（如漏校验 session、直曝文件路径、未预编译 SQL），都可能引发数据越权或注入风险。务必同步检查数据库表结构是否包含 user_id 字段，若缺失，请先迁移添加并更新上传逻辑以写入该字段。
