¿Es posible poner datos de imagen binarios en el marcado html y luego obtener la imagen mostrada como de costumbre en cualquier navegador?

Si necesitara seguridad en mi directorio de imágenes no expondría el directorio en absoluto. En su lugar, mis atributos img src harían referencia a una página que tomaría un id de usuario y un id de imagen como parámetro.

La página validaría que ese usuario efectivamente tuvo acceso para ver esa imagen. Si todo va bien, devuelve el binario. De lo contrario no enviar nada.

Por ejemplo:

<img src="imgaccess.php?userid=1111&imgid=223423" />

Además, no usaría identificaciones adivinables. En su lugar, me apegaría a algo como base 64 codificada guid.

No estoy seguro de entender, pero aquí va. En lugar de servir imágenes estáticas que residen en una carpeta de imágenes, ¿por qué no pudo, utilizando la tecnología del lado del servidor de su elección, enviar las imágenes dinámicamente al cliente? De esa manera su código del lado del servidor puede entrar en la mezcla y permitir o denegar el acceso mediante programación?

<img src="/images/getImage.aspx?id=123353 />

Con HTML5 puede usar la etiqueta canvas y JavaScript para hacer esto.

Tal vez podría hacer algo con CSS o un diseño de tabla para dibujar una imagen (probablemente muy mal rendimiento, resolución, portabilidad).

De cualquier manera, no hay manera de detener a la gente de tomar sus fotos. Podrían tomar una captura de pantalla y recortarla.

Como Chris mencionó en su respuesta, tener identificaciones de imagen largas para que la URL de cada imagen no sea fácil de adivinar o la fuerza bruta es importante. Y ninguna lista de directorios en los directorios de su servidor web es también.

Puede mover las imágenes de la raíz del documento a un directorio privado y entregarlas a través de su aplicación, que tiene acceso a ese directorio. Cada vez que su aplicación genera una etiqueta de imagen, también genera un token de seguridad de corta duración que debe especificarse al acceder a una imagen en particular:

<img src="/app/getImage.xyz?image=12345&token=12a342e32b321" />

Las posibilidades son muy raras de que alguien fuerza brutalmente el token correcto en el momento correcto con la imagen correcta. Hay por lo menos a las posibilidades de verificar el token en "getImage":

1. Realiza un seguimiento de todas las etiquetas de imagen en los registros de tu app y tienda en una base de datos que vincule los tokens generados aleatoriamente y los ID de imagen a los usuarios solicitantes. La acción "getImage" comprueba los parámetros suministrados con esa base de datos.
2. Genere el token como suma de comprobación (MD5, CRC, lo que sea) sobre el ID de usuario, el ID de imagen y tal vez el día actual del año, y asegúrese de mezclar una sal imposible de adivinar. La acción "getImage" volverá a calcular la suma de comprobación y compáralo con el especificado para verificar el acceso del usuario. Este método producirá menos gastos generales que el primero.

Ejemplo de PHP:

$token = md5($_SESSION['user_id'].' '.$imageID.' '.$SECRET_SALT.' '.date('z'));