本文介绍使用hls或dash结合clear key方案对mp4视频进行服务端加密，并通过php安全分发，使视频仅能在授权html播放器（如video.js）中解密播放，有效防止直接url下载，兼顾安全性与实现简易性。
本文介绍使用hls或dash结合clear key方案对mp4视频进行服务端加密，并通过php安全分发，使视频仅能在授权html播放器（如video.js）中解密播放，有效防止直接url下载，兼顾安全性与实现简易性。
在Web视频分发场景中，单纯通过PHP输出原始MP4文件（如题中代码所示）虽支持HTTP Range请求和流式播放，但存在明显安全隐患：一旦获取到视频URL，用户即可直接下载、另存或嵌入任意页面播放——这与“仅限特定播放器使用”的目标完全背离。真正的解决方案不在于隐藏路径或添加Referer校验（易被绕过），而在于内容层面的加密与受控解密机制。
目前业界主流且可行的路径是采用自适应流媒体协议配合轻量级加密方案：
✅ 推荐方案：HLS/DASH + Clear Key（明文密钥）
Clear Key 是 W3C Encrypted Media Extensions（EME）标准支持的一种非DRM、低门槛加密方式。它不依赖商业许可证（如Widevine、FairPlay），服务端对视频切片（TS或CMAF）或片段（MP4）进行AES-128加密，同时将解密密钥以明文JSON形式通过key URI提供给浏览器。播放器（如video.js配合videojs-contrib-eme插件）自动完成密钥获取与解密渲染。
⚠️ 注意：Clear Key 不防高级逆向，但能有效阻止普通用户右键保存、curl下载或拖入VLC等行为，适合版权要求中等、需快速落地的项目。
立即学习“PHP免费学习笔记（深入）”；
实施步骤概览：
- 预处理视频：使用ffmpeg + mp4encrypt（Bento4工具集）加密MP4并生成密钥文件；
- 配置PHP密钥接口：提供标准化的/key.php?id=xxx，返回JSON格式密钥（需校验session/Token）；
- 前端播放器集成：video.js启用EME，声明keySystems并指向你的密钥接口；
- 服务端增强防护：在PHP流式响应中增加Token校验、IP/UA绑定、短期有效期签名等辅助策略（非必需但推荐）。
示例：Clear Key密钥接口（key.php）
<?php
// key.php?id=abc123&sig=xxx （建议加入签名验证）
header('Content-Type: application/json');
$keyId = $_GET['id'] ?? '';
if (!$keyId || !hash_equals(hash_hmac('sha256', $keyId, $_ENV['KEY_SECRET']), $_GET['sig'] ?? '')) {
http_response_code(403);
exit(json_encode(['error' => 'Invalid access']));
}
// 示例密钥（实际应从数据库或缓存动态读取，按视频ID隔离）
$keys = [
'abc123' => [
'kty' => 'oct',
'k' => 'Y3J5cHRvX2lzX2Z1bg', // base64-encoded 16-byte AES key (e.g., "crypto_is_fun" → base64)
'kid' => 'aGVsbG9fd29ybGQ' // base64-encoded key ID
]
];
echo json_encode($keys[$keyId] ?? ['error' => 'Key not found']);前端video.js配置（需引入videojs-contrib-eme）
<video id="my-video" class="video-js" controls>
<source src="/stream/hls/playlist.m3u8" type="application/x-mpegurl">
</video>
<script>
const player = videojs('my-video');
player.ready(() => {
player.src({
src: '/stream/hls/playlist.m3u8',
type: 'application/x-mpegurl',
keySystems: {
'com.apple.fps.1_0': { // HLS FairPlay占位（可选）
certificateUri: '/cert.pem'
},
'org.w3.clearkey': {
// Clear Key核心：密钥获取地址 + 密钥ID映射
getLicense: (emeOptions) => {
return fetch(`/key.php?id=${emeOptions.initData}&sig=${genSig(emeOptions.initData)}`)
.then(r => r.json())
.then(keyObj => ({
keys: [keyObj]
}));
}
}
}
});
});
</script>❌ 不推荐的“伪保护”方式
- 仅靠Referer或User-Agent拦截：极易伪造；
- PHP中设置Content-Disposition: attachment干扰下载：对HTML5
- 前端JS动态拼接URL：源码可见，网络面板仍可捕获真实地址。
总结
要实现“仅在指定HTML播放器中播放”，本质是建立客户端解密能力信任链。Clear Key方案在零成本、免证书、兼容video.js的前提下，提供了合理安全水位。若需银行级防护，则应升级至商用DRM（如Shaka Packager + Widevine）。无论哪种路径，切勿依赖服务端PHP脚本本身做访问控制——加密必须发生在内容层，而非传输层。 完整实现请参考Stack Overflow相关实践及video.js EME文档。
