Forse ho trovato la soluzione.
Inserire nell'HTML al posto del link alla foto, un link ad uno script php che restituirà la foto se l'utente ha i permessi necessari.