PHP无法直接隐藏视频真实地址，但可通过代理输出流、签名URL过期验证、Referer/UA服务器层校验及分片加密等方式控制访问权限，核心是禁止静态直链并动态校验每次请求。
PHP本身不能直接“隐藏”视频的真实播放地址，但可以通过动态生成临时访问凭证、后端代理输出和Referer/UA校验等方式，让真实地址不被公开暴露或被非法盗链。核心思路是：不让视频文件通过静态URL直接访问，而是由PHP脚本控制是否允许下载/播放，并在每次请求时做权限验证。
1. 使用PHP代理输出视频流（推荐）
将视频文件放在Web根目录外（如 /var/www/private/videos/），不对外直接可访问。用户请求播放时，由PHP脚本读取文件并以流式响应输出，同时添加必要的HTTP头：
- 设置
Content-Type（如video/mp4） - 设置
Accept-Ranges: bytes支持拖拽播放 - 检查登录状态、IP、Referer、时间戳等权限
- 使用
readfile()或fopen()+fpassthru()流式输出，避免内存溢出
示例关键代码：
// play.php?token=xxx&vid=123
$token = $_GET['token'] ?? '';
$vid = (int)$_GET['vid'];
<p>if (!validateToken($token, $vid)) {
http_response_code(403);
exit('Forbidden');
}</p><p>$videoPath = '/var/www/private/videos/' . $vid . '.mp4';
if (!is_file($videoPath)) {
http_response_code(404);
exit;
}</p><p>header('Content-Type: video/mp4');
header('Accept-Ranges: bytes');
header('Cache-Control: public, max-age=3600');</p><p>// 支持断点续传（简化版）
if (isset($_SERVER['HTTP_RANGE'])) {
// 实现 Range 处理逻辑（略）
} else {
readfile($videoPath);
}
2. 签名URL + 过期时间（简单有效）
生成带签名和过期时间的临时URL，例如：https://yoursite.com/video.php?vid=123&expires=1717023600&sign=abc123
PHP在 video.php 中验证：
- 当前时间 ≤ expires
- sign = md5("vid=123&expires=1717023600&secret_key")
- 可额外加入用户ID、IP哈希增强安全性
验证通过后，再走代理输出流程（见上一条）。这种方式便于前端JS动态生成播放地址，也兼容HLS/DASH的m3u8分片请求。
立即学习“PHP免费学习笔记（深入）”；
3. 配合Web服务器做Referer和User-Agent限制（辅助手段）
仅靠PHP不够，建议在Nginx/Apache层面加一层过滤，拦截明显异常请求：
- Nginx中用
valid_referers拒绝非白名单来源 - 禁止空Referer（但注意移动端WebView可能为空）
- 不依赖UA，因极易伪造；仅作初级筛选
示例Nginx配置片段：
location ~* \.(mp4|webm|ogg)$ {
valid_referers none blocked yoursite.com *.yoursite.com;
if ($invalid_referer) {
return 403;
}
# 后续交由PHP处理或直接返回文件（不推荐直出）
}
4. 进阶：分片加密 + 自定义协议（防批量下载）
对高价值内容，可考虑：
- 用FFmpeg将视频切片为ts/m4s，并用AES-128加密（密钥由PHP动态下发）
- 播放器通过XHR向PHP接口获取密钥（带身份校验）
- 服务端记录播放行为，异常频次自动封禁IP或token
- 结合WebAssembly在前端解密（增加逆向难度，非绝对安全）
注意：没有绝对防盗链，目标是提高盗取门槛、增加批量采集成本、明确追责依据。
