Как скрыть папку с аватрами(изображения) от прямого доступа?

Можно ли как то запретить прямой доступ по url, но дать возможность выводить с помощью тега img?

Нельзя.

Какой-то особенный "прямой доступ" - это очень распространенное суеверие. В реальности же никакого "кривого доступа" не существует.

C точки зрения сервера, ВСЕ обращения к нему - "прямые"

И запретив "прямое" ты просто запретишь любые обращения вообще.

Поэтому любые фантазии про "закрыть прямой доступ но позволить бразуеру запрашивать" не имеют смысла.

Надо купить книжку Котерова, РНР7, и прочитать с самого начала. Там даются основы протокола НТТР, как раз для таких вот самоучек, которые всё изучают методом тыка.

Если же тебе нужно отдавать какую-то информацю в зависимости от каких-то условий (например только авторизованным пользователям), то именно такой вопрос и надо задавать. В этом случае вариант "хранить выше корня сайта и отдавать скриптом" вполне подойдет