Geschützte Bilder in Originalgröße direkt anzeigen

[maxine]

Ich möchte im geschützten Bereich Bilder für eingeloggte Mitglieder sichtbar ausgeben.
Damit sie nicht im Assets-Ordner landen, sollen sie nicht verkleinert, sondern original anzeigt werden.

Default zeigt Contao die Bilder aus dem geschützten Ordner nicht an.
Über die Downloads-CE können eingeloggte, berechtigte Mitglieder sie herunterladen, aber sie bekommen sie nicht direkt angezeigt.
Anhand anderer Threads hier im Forum habe ich versucht eine Lösung zu basteln, aber offensichtlich habe ich den Dreh nicht raus:

Template galerie_intern.html5

<div class="cols_<?= $this->perRow ?>" itemscope itemtype="http://schema.org/ImageGallery">
  <?php foreach ($this->body as $class=>$row): ?>
    <?php foreach ($row as $col): ?>
      <?php if ($col->addImage): ?>
        <p class="<?= $class ?> <?= $col->class ?>">
          <figure class="image_container"<?php if ($col->margin): ?> style="<?= $col->margin ?>"<?php endif; ?>>
              <img src="image-intern.php?img=<?php echo $col->src ?>" alt="">
              <figcaption class="caption">
                  <a href="galerie.html?file=<?php echo $col->src ?>">Download</a>
              </figcaption>
          </figure>
        </p>
      <?php endif; ?>
    <?php endforeach; ?>
  <?php endforeach; ?>
</div>

Im Web-Ordner habe ich zudem eine Datei image-intern.php angelegt, in der Hoffnung darüber die Anzeige erzwingen zu können:

<?php
  
 $type = substr($_GET['img'],-3);
 header('Content-Type: image/' . $type);
 readfile('/www/htdocs/FOO/files/intern/' . $_GET['img']);
?>

Leider klappt es nicht. Hat jemand eine Idee, wie ich es hinbekommen kann?

[Spooky]

zB https://extensions.contao.org/?q=fri...access&pages=1

Ab Contao 4.8 kannst du Bilder auch prozessieren lassen, wenn sie in der Original Größe ausgegeben werden.

[fiedsch]

<?php
  
 $type = substr($_GET['img'],-3);
 header('Content-Type: image/' . $type);
 readfile('/www/htdocs/FOO/files/intern/' . $_GET['img']);
?>

So etwas willst Du auch nicht machen.

Bsp.: es ruft jemand Dein Skript mit diesem $_GET['img'] Parameterwert auf:

../../app/config/parameters.yml

[maxine]

So etwas willst Du auch nicht machen.
Bsp.: es ruft jemand Dein Skript mit diesem $_GET['img'] Parameterwert auf

Autsch. Sowas kommt davon, wenn man um kurz vor Mitternacht Ideen schwingt und Codes aus Foren ausprobiert. Danke für den sehr wichtigen Hinweis, das wäre natürlich fatal!

- - - Aktualisiert - - -

Vielen Dank für eure Hilfe und den Hinweis auf die Erweiterung!