公開フォルダの外に画像を保存して、PHP 経由で表示する

/home/ユーザー名/example.com/
├── public_html/              ← 公開フォルダ（https://example.com/ で見える）
│   └── sample/php/uploader_outside/
│       ├── index.php
│       └── img.php           ← 画像はこの PHP を通して表示する
└── private_file_storage/     ← 公開フォルダの外（URL では見られない）
    └── php_uploader_outside/
        └── 7f3a…c9.jpg       ← アップロードされた画像はここ

<?php
/*
 * 画像の保存先（公開フォルダの外 = ブラウザから直接見えない場所）
 * 例: /home/ユーザー名/example.com/public_html がサイトの公開フォルダなら、
 *     /home/ユーザー名/example.com/private_file_storage/php_uploader_outside/ に保存します。
 * 場所を変えたいときは template-parts/config.php の PRIVATE_DIR に書きます。
 */
require_once __DIR__ . '/../../template-parts/config.php';

$dir = PRIVATE_DIR !== '' ? PRIVATE_DIR
     : dirname($_SERVER['DOCUMENT_ROOT']) . '/private_file_storage/php_uploader_outside/';

define('IMAGES_DIR', rtrim($dir, '/') . '/');

// フォルダがなければ作る
if (!is_dir(IMAGES_DIR)) {
    @mkdir(IMAGES_DIR, 0755, true);
}

  <form action="upload.php" method="post" enctype="multipart/form-data">
    <input type="hidden" name="MAX_FILE_SIZE" value="1048576">
    <p><input type="file" name="img" accept="image/*" required></p>
    <input type="submit" value="非公開フォルダに保存する">
  </form>

// print_r($_FILES);
Array
(
    [img] => Array
        (
            [name]     => penguin.jpg
            [type]     => image/jpeg
            [tmp_name] => /tmp/phpX7k2Qa
            [error]    => 0
            [size]     => 183205
        )
)

// ---- チェック ------------------------------------------------
$file = $_FILES['img'] ?? null;   // name="img"（1枚だけなので配列ではない）

if ($file === null || $file['error'] === UPLOAD_ERR_NO_FILE) {
    show_error_page('画像が選ばれていません。');
}
if ($file['error'] === UPLOAD_ERR_INI_SIZE || $file['error'] === UPLOAD_ERR_FORM_SIZE || $file['size'] > MAX_SIZE) {
    show_error_page('ファイルサイズが大きすぎます（1MBまで）。');
}
if ($file['error'] !== UPLOAD_ERR_OK) {
    show_error_page('アップロードに失敗しました（エラー番号 ' . $file['error'] . '）。');
}
if (count(image_list()) >= MAX_IMAGES) {
    show_error_page('すでに' . MAX_IMAGES . '枚保存されています。「全て削除する」を押してから試してください。');
}

// 拡張子ではなく、ファイルの中身から画像の種類を調べる
$info = @getimagesize($file['tmp_name']);
$ext  = match ($info['mime'] ?? '') {
    'image/gif'  => '.gif',
    'image/jpeg' => '.jpg',
    'image/png'  => '.png',
    default      => null,
};
if ($ext === null) {
    show_error_page('画像ファイル（GIF・JPEG・PNG）ではありません。');
}

// ---- 保存 ----------------------------------------------------
$name = sha1(random_bytes(16)) . $ext;   // 他と重ならないランダムな名前

if (!move_uploaded_file($file['tmp_name'], IMAGES_DIR . $name)) {
    show_error_page('画像を保存できませんでした。');
}

header('Location: view.php');
exit;

/** このサンプルが保存したファイル名か？（ランダムな40文字＋拡張子） */
function is_image_name(string $name): bool
{
    return preg_match('/\A[0-9a-f]{40}\.(jpg|png|gif)\z/', $name) === 1;
}

/** 保存済みの画像ファイル名の一覧（新しい順） */
function image_list(): array
{
    $files = is_dir(IMAGES_DIR) ? scandir(IMAGES_DIR) : [];
    $files = array_values(array_filter($files, 'is_image_name'));  // . や .. などを除く
    usort($files, fn($a, $b) => filemtime(IMAGES_DIR . $b) <=> filemtime(IMAGES_DIR . $a));
    return $files;
}

<div class="gallery">
<?php foreach ($list as $name): ?>
  <figure>
    <!-- 画像の場所は公開されていないので、img.php を通して表示する -->
    <a href="img.php?img=<?= urlencode($name) ?>" target="_blank"><img src="img.php?img=<?= urlencode($name) ?>" alt=""></a>
    <figcaption><?= h(number_format(filesize(IMAGES_DIR . $name) / 1024, 1)) ?> KB</figcaption>
  </figure>

<?php
/*
 * 非公開フォルダの画像を読み込んで、ブラウザに送る
 * 使い方: <img src="img.php?img=ファイル名">
 */
require_once __DIR__ . '/common.php';

// ファイル名の形式を確認する（../ などで他のファイルを読み出されないように）
$name = (string)($_GET['img'] ?? '');
if (!is_image_name($name) || !is_file(IMAGES_DIR . $name)) {
    http_response_code(404);
    exit;
}
$path = IMAGES_DIR . $name;

// ここに「ログインしているか」などのチェックを入れれば、会員だけに見せる画像にできる

$type = image_type_to_mime_type(exif_imagetype($path));  // 例: image/jpeg

header('Content-Type: ' . $type);                          // 画像の種類
header('Content-Length: ' . filesize($path));              // ファイルサイズ
header('Content-Disposition: inline; filename="' . $name . '"');  // ダウンロードさせるなら attachment
header('X-Content-Type-Options: nosniff');
readfile($path);                                           // 画像の中身を出力

// 削除は POST のときだけ（リンクをたどっただけで消えないように）
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    foreach (image_list() as $name) {
        unlink(IMAGES_DIR . $name);
    }
}

header('Location: index.php');
exit;