Как защитить файл от скачивания сторонним скриптом? PHP

1. Проверять заголовки

2. Генерировать не прямую ссылку, а с ключом, где ключ - результат хеш-функции от браузера.

3. Отправлять ссылку на почту, с просьбой открыть ее в том браузере, в котором загружали картинку

4. Для пущей важности использовать localStorage

Курить "антилич".

их можно легко подделать

вот тут немного по подробнее пожалуйста, я не пойму как сгенерить этот ключ

не пойдет, т.к. это оч много действий для юзера, вместо этого как вариант капча пойдет...

тоже не вариант, большое количество устаревших арбузеров теряем

капча и куки, не?

капча да, но хотелось бы обойтись без нее

Подключите ajax - он запрещает кроссдоменные запросы.

После загрузки вашей формы в в браузер пользователя - по onLoad на сервер отправляется ajax-запрос. который генерит, например MD5( от текущего времени + IP пользователя).

Этот MD5 записывается в БД на сервере и ему ставится время жизни, допустим 3 часа. Устаревшие вычищать из таблицы по cron. Это не даст нагеренить правильных ответов для работы "левого скрипта".

Форма присылает на сервер файл и скрытое поле с ответом на этот ajax-запрос, поле сверяется с наличием в таблице. Если не совпало - пользователь левый, заново отправлять ему форму ввода файла.

Плюс - реферер проверяйте, браузеры сейчас не дают его подделать.

// уникальный токен пользователя
  $token = sha1($_SERVER['HTTP_USER_AGENT'] . $_SERVER['REMOTE_HOST'] . $_SERVER['HTTP_ACCEPT ']);
// случайный ключ
  $key = sha1(microtime() . mt_rand(10, 9999) . '%' . $token);
// хеш функция от ключа и токена пользователя
  $hash = getHash($token, $key);

  function getHash($token, $key){
     return md5($token . '%somethingelse' . $key);
  }

Теперь ссылка на файл выглядит следующим образом:

/getfille/[KEY]/[HASH]/[FILE_ID]/

А при скачивании файла, проверяете, сходится ли [HASH] с хешем, который получается при использовании вашей хеш функции:

//$token - генерируется скриптом так же с учетом $_SERVER-элементов
if ([HASH] == getHash($token, [KEY]){
}

P.S. Все можно довесить еще дополнительными javascript-обработчиками, чтобы токен был максимально уникальным.

Про то, что любого пользователя можно очень точно идентифицировать - https://panopticlick.eff.org/

P.S.S. Зачем поддерживаете старые браузеры?