可以使用随机的url而不是密码吗？

无论是否“好”取决于图像的敏感程度。

如果您不使用SSL，则URL，HTML和图像本身将caching在用户的计算机上。 这可能会泄漏，但我认为这不太可能。

浏览器工具栏，特别是由运行爬虫的公司制作的浏览器工具栏，如Alexa和Netcraft，可以将访问过的URL返回到其父站点，以备机器人稍后爬行。

正确的身份validation（如HTTP身份validation或POSTvariables）不应该以这种方式进行caching或者报告给任何父网站。

另一种技术是使用独特和短暂的URL。 那样，即使他们泄漏，也没什么关系。 当然，你必须不断更新你的合法用户的新url。

不，不是，这只是安全而已 ，根本就不安全。 任何可以从互联网上直接访问的东西，如果没有某种forms的真正的保护，将被发现，索引和caching。

他们将一路login每个代理。 除非有人真的发布了这个链接，否则你会从好奇的高级用户和search引擎中安然无恙。

当然要小心发电机的随机性。

我猜你没有在这里寻找超高的安全性。

一个神秘的URL是一次性下载的方便，但没有提供真正的保护。 你需要知道，并不是所有的机器人都会遵守robots.txt文件，所以如果你的网站有任何链接导致伪装的文件夹， 它将被一些search引擎索引，一旦启动就不会回头。

我build议使用一个简单的基于.htaccess的authentication系统，或者除了你所提出的。

我想添加另一个，也许更可怕的angular度来看这个例子混淆url。 即使您的url没有被意外共享，也可以通过以下方式提交给search引擎：

• 访问者的ISP。 HTTP访问正在收集，数据化，有时甚至直接由ISP出售给第三方。
• 访问者的云存储。 有许多存储书签和历史logging的服务可以在浏览器安装中自由同步。 除非像Mozilla那样预先encryption数据，否则可能暗含相同的数据挖掘实践。

因人而异。

在过去，我使用了类似的方法来允许用户在文档pipe理系统上创build共享空间。 共享的内容不是绝密的，所以系统不需要超安全。

我只是让每个用户的URL包含一个到期时间戳和他们的电子邮件的MD5。

所以这个URL看起来像：

http://my-url.com/1343689677-cba1f2d695a5ca39ee6f343297a761a4/

与上面一样，如果用户在7月30日之前input了email [email protected]，那么他们将会很好。

不完全是军事级别的安全，但做了这项工作。

这与在URL中存储sessionID共享相同的漏洞。 有人可能会意外地将链接复制粘贴到其他人，忘记审查截图，或让别人查看它，因为它不像密码那样星号。

另外，如果某些内容受密码保护，则通过login您知道这是一个秘密。 如果你得到一个链接，你可以easilly忘记它。

另一件事是删除用户权限。 你可以删除一个用户，所以他不能再login，但是用链接你需要全部改变它们，并且发送每个人（除了被删除的用户）新的URL。

如果这些只是图像，我认为这并不坏。 但是，如果这些图片是真的，真的不喜欢分享的话）那么我build议你使用更长的随机单词，更像是一个dave e提出的。

编辑：将？DO_NOT_SHARE_THIS_LINK添加到url： http ： //example.com/DO_NOT_SHARE_THIS_LINK/EU3uc654-这个应用程序可以更长时间/照片？DO_NOT_SHARE_THIS_LINK

这就是Kongregate在embedded其他地方托pipe的游戏时所做的事情（它把auth凭证放在框架的url中）。 顺便说一句，Kongregate也使用客人访问链接未发布的游戏，只是你想使用的方式。