Как бороться с Basic Authorization?

Предварительно посылать запрос и смотреть хедер WWW-Authenticate? :)

сделать имаджхостинг, очевидно же, и запретить вставлять картинки с других сайтов (или например разрешить только с определенных файлообменников). В общем, в текущем варианте, как ты правильно подметил, наблюдается здоровенная дыра в секурити.

Нехороший пользователь написал свой простенький сервер для сбора данных и отдачи одной картинки. И когда скрипт форума полезет проверять картинку - пользователь напишет, чтобы сервер ответил 200. А когда эту же картинку станут спрашивать браузеры посетителей форума, тогда и будет происходить запрос Basic Authorization.

Если постоянно делать проверку отображаемого пользователю файла, то это свободный ddos сервис.

Мне кажется, что иного варианта кроме как загружать все картинки и хранить локально просто не существует. Данным на других серверах доверять ни за что нельзя, в это случае. :(

в рассылке nginx недавно было.

http://mailman.nginx.org/pipermail/nginx-ru/2012-April/046464.html

И когда скрипт форума полезет проверять картинку - пользователь напишет, чтобы сервер ответил 200. А когда эту же картинку станут спрашивать браузеры посетителей форума, тогда и будет происходить запрос Basic Authorization.

Можно ходить с реальным UA браузера.

Если постоянно делать проверку отображаемого пользователю файла, то это свободный ddos сервис.

Постоянно можно не делать, со случайным интервалом, к примеру, и убрать проверку для доверенных сервисов.

p.s.: Самый простой вариант, конечно, это разрешить изображения только из фиксированного списка ресурсов, про которые точно известно, что это хостинги картинок.

http://mailman.nginx.org/pipermail/nginx-ru/2012-April/046464.html

Годная штука. Спасибо за ссылку.

+1 к запрету изображений с левых ссылок.