Если вы храните изображения вне общедоступной папки, вам, вероятно, потребуется создать контроллер / действие, которое принимает информацию, которая идентифицирует изображение, а затем отправляет ее обратно в браузер - с правильными заголовками MIME - через readfile()
.
В некоторых случаях это имеет смысл: если эти ресурсы необходимо ограничить, например, на основе некоторых критериев Auth / Acl. Если изображения, загруженные пользователем X, не являются общедоступными для всех пользователей / посетителей, но являются частными для пользователя X (или некоторого другого набора пользователей / посетителей, которых вы идентифицируете), тогда применяется этот подход.
Но если эти ресурсы изображений являются общедоступными, то запуск доступа к ним в течение всего цикла диспетчеризации MVC кажется чрезмерной нагрузкой.