放到公开路径中，比如/upload/xxx.jpg，作者可以直接公布源文件地址供大家浏览或下载。
不放到公开路径中，作者本人至少要能预览吧，ajax获取二进制数据难以缓存而且兼容性差。
动态失效路径也可以在一定时间内泄露再按时更新，配合ip还要上传者每次登录都更改授权ip绑定，比较复杂了。
业内有主流的简单方案吗？
可以用一张数据表来存储,标记文件ID,真实地址,在客户端显示地址为domain.com/img?fileid={file_id}
再由服务器端输出图片即可。
判断是否是作者本人登陆，然后由服务器端动态返回图片