XF2.0 Image Hotlinks verhindern

[shining]

Hallo,

ich bin eben durch Zufall darüber gestolpert, dass in einem Blog Bilder eingebunden sind, welche in unserem Forum im NICHT öffentlichen Bereich gepostet wurden.
Und nun frage ich mich wie das möglich ist bzw wie ich das verhindern kann.

Denn klickt man auf das Bild um es sich im Browser separat anzuschauen, kommt richtigerweise: Sie können den Inhalt nicht sehen. Bitte einloggen blabla

Aber in dem Blogartikel ist das Foto definitiv via direktlink zu dem jpg eingebunden und SICHTBAR.

Ist das ein Bug oder so gewollt?

 

[nocte]

Aber in dem Blogartikel ist das Foto definitiv via direktlink zu dem jpg eingebunden und SICHTBAR.

Nur das Thumbnail vielleicht? Da wird der vollständige Pfad dem Benutzer angezeigt. Für die "full" Version wird der Attachment Controller zwischengeschaltet und der liefert das Bild nur aus, wenn die Rechte passen.

Wenn jemand allerdings den Link zur Graphikdatei kennt, kann er es auch direkt verlinken und es findet keine Prüfung auf Benutzerrechte statt. Nur sind die Pfade seitens XF bewusst kryptisch gehalten, damit man sie nicht so leicht erraten kann.

 

[otto]

Kann man da nicht was auf htacces Ebene oder besser machen bzw. ist da echt nichts gemacht? Ich mein, man könnte es dem "Dieb" etwas erschweren, und den bandbreiten-Klau reduzieren...

 

[nocte]

Kann man da nicht was auf htacces Ebene

sicher: den Referer abfragen und blocken, wenn es sich um eine externe URL handelt. Gibt 1.000e Tutorials dazu, z.B. Smarter Way To Prevent Image Hotlinking with .htaccess - Hongkiat

Wichtig ist nur, dass man auch User ohne Referer erlaubt (nicht jeder sendet einen mit).

Das ganze gehört dann in den Ordner /internal_data/attachments/ oder eventuell direkt in den /internal_data/ Ordner.

 

[Hoffi]

Am besten internal_data ausserhalb des Webroots lagern. Oder, wenn man nginx nutzt, den Ordner auf Internal setzen.