PHP视频安全播放防护方案

核心是通过PHP控制视频流输出，防止直接访问。将视频存于非公开目录，用readfile()或fread()逐块输出，配合Content-Type、Accept-Ranges等HTTP头支持播放拖动；结合用户登录验证、IP限制、token校验增强安全。采用时效性token（含时间戳与HMAC签名）防止链接泄露，适用于付费内容。通过$_SERVER['HTTP_REFERER']检查来源域名防盗链，但需结合其他措施防伪造。高价值内容可启用HLS/DASH加密，使用FFmpeg生成AES-128加密分片，m3u8文件由PHP动态生成，密钥通过独立接口授权访问。综合路径隐藏、权限校验、token机制、流式传输与服务器配置，构建多层防护体系。

PHP视频安全播放的核心在于防止视频文件被直接下载、盗链或未授权访问。单纯依靠前端控制无法保证安全，必须结合后端逻辑与服务器配置实现综合防护。以下是几种实用且有效的防护方案。

1. 使用PHP读取并输出视频流

将视频文件存放在Web根目录之外，通过PHP脚本控制访问权限，用户无法直接获取视频URL。

实现方式：

• 视频文件存储在非公开目录，如/var/videos/。
• 通过PHP的readfile()或fopen()配合fread()逐块输出视频数据。
• 设置正确的HTTP头（如Content-Type、Content-Length、Accept-Ranges），支持播放器拖动进度条。

示例代码片段：

header('Content-Type: video/mp4');
header('Content-Length: ' . filesize($videoPath));
header('Accept-Ranges: bytes');
readfile($videoPath);
exit;

可在此基础上加入用户登录验证、IP限制、token校验等逻辑。

2. Token时效化访问控制

为每个视频请求生成一次性或有时效的访问令牌，防止URL被分享或爬取。

操作建议：

• 生成带时间戳和签名的token，例如：?token=abc123&expires=1730000000。
• PHP接收请求后验证token有效性（如HMAC签名、是否过期）。
• token可通过用户会话绑定，提升安全性。

这种方式能有效防止链接泄露，适合会员制或付费视频场景。

3. 防盗链与Referer检查

限制请求来源，阻止其他网站嵌入你的视频资源。

实施方法：

• 在PHP中检查$_SERVER['HTTP_REFERER']是否来自允许的域名。
• 结合Nginx/Apache配置更高效的防盗链规则。
• 注意：Referer可伪造，仅作为辅助手段。

建议与其他机制组合使用，不单独依赖。

4. 视频加密与DRM（进阶方案）

对高价值内容，可采用HLS/DASH分片加密，配合密钥服务（Key Server）控制解密权限。

常见做法：

• 使用FFmpeg将视频转为加密的HLS格式（AES-128）。
• m3u8索引文件由PHP动态生成，根据权限决定是否返回加密信息。
• 密钥（key）通过独立接口提供，并做访问限制。

此方案复杂度较高，但能大幅提高破解成本。

基本上就这些。关键点是：不要暴露真实路径，用PHP做权限中转，结合token和流式输出，再辅以服务器层防护，就能构建一个相对安全的视频播放系统。