Раньше как нужно было какую-то статику отдавать которая доступна только с авторизацией, прям на ноде читал эти файлы, поточно отдавал. Сейчас или обленился, или может озарение пришло, что можно только проверить авторизацию и если она ок, то спроксировать запрос обратно на nginx, который отдаст картинку. Он явно лучше меня и файлы читает, и заголовки кеширования накинет, и пожмёт если захочет.