为保障直播资源不被非法盗用，您可以使用 URL 鉴权功能，在原始的推流或拉流地址末尾添加鉴权信息。当用户使用带有鉴权信息的 URL 发起推流或拉流请求时，视频直播服务端会对鉴权参数进行校验。只有通过校验的请求才会被响应，未通过校验的请求将被拒绝。本文介绍如何通过控制台配置 URL 鉴权。

URL 鉴权适用于推流和拉流域名。

• 配置推流域名的 URL 鉴权：用于控制哪些 URL 可以推流，从而防止未经授权的用户进行直播推流，保护直播内容的来源。推流域名目前仅支持配置 B 类型的 URL 鉴权。
• 配置拉流域名的 URL 鉴权：用于控制哪些 URL 可以拉流，确保只有通过特定 URL 才能够观看直播。拉流域名支持配置 A 类型、B 类型和 C 类型的 URL 鉴权。

已完成添加域名。

1. 客户服务端生成鉴权 URL，并将鉴权 URL 提供给用户。
2. 用户使用鉴权 URL，向视频直播服务端发起推流或拉流请求。
3. 视频直播服务端对鉴权 URL 中的鉴权参数进行校验。通过与请求中的鉴权参数进行对比，判断请求是否合法。
   • 请求合法：响应请求。用户可以正常推流或拉流。
   • 请求不合法：返回 403 错误，拒绝请求。用户无法推流或拉流，从而保护直播资源。

1. 登录视频直播控制台。
2. 在左侧导航栏，单击域名管理。
3. 在域名管理页面，找到需要配置的推流域名或拉流域名，单击操作列的域名配置，进入域名配置页面。
4. 单击访问控制页签。
5. 打开 URL鉴权开关，或单击 URL鉴权区域的编辑配置。
   
6. 在弹出的编辑 URL 鉴权对话框中，根据您的业务需求选择以下任一鉴权方式，并完成以下配置。
   • A 类鉴权方式
   • B 类鉴权方式
   • C 类鉴权方式
     以上鉴权方式均采用 MD5 加密算法。
     完成 URL 鉴权配置约 5 分钟后，用户仅能通过鉴权 URL 推流或拉流，而无法通过原始 URL 推流或拉流。

   说明

   • 系统默认会为推流域名开启 URL 鉴权。
   • 目前推流域名仅支持 B 类鉴权方式。
   • 如果以上鉴权方式无法满足您的业务需求，请创建工单联系技术支持，完成 URL 自定义鉴权配置。
7. 获取鉴权 URL。
   您可以参考 A 类鉴权方式、B 类鉴权方式或 C 类鉴权方式的介绍，自行拼接鉴权 URL，也可以通过以下步骤，通过地址生成器获取鉴权 URL。

   说明

   通过 URL 自定义鉴权配置的域名，如需获取鉴权 URL，可根据自定义鉴权规则自行拼接或创建工单联系技术支持。

   1. 在左侧导航栏，选择地址生成器。
   2. 选择推流地址或拉流地址。
   3. 选择域名，配置 AppName、StreamName 和过期时间。详见地址生成器。
   4. 单击生成推流地址或生成拉流地址。
   5. 在页面右侧，获取鉴权 URL。
      

A 类鉴权方式 #

工作原理 #

鉴权 URL 格式：

原始URL?auth_key={timestamp}-{rand}-{uid}-{md5hash}

sstring = "{URI}-{timestamp}-{rand}-{uid}-{key}"
md5hash = md5sum(sstring)

鉴权 URL 示例：

http://pull.example.com/live/test.flv?auth_key=1758296819-123e4567-0-fbe5e26c0b7abe1431c****7f7bdc278

鉴权流程 #

1. 视频直播服务端收到用户鉴权 URL 的请求后，对 {URI}-{timestamp}-{rand}-{uid}-{key} 取值进行 MD5 加密生成 32 位小写字符串。在本文示例中，最终生成的字符串为 fbe5e26c0b7abe1431c****7f7bdc278。
2. 视频直播服务端对鉴权 URL 中的鉴权参数进行校验。如果同时满足以下校验，则校验通过。
   • 判断服务端计算出的 MD5 哈希值与请求中签名参数（本文示例为 auth_key）中的 md5hash 是否一致。一致，则校验通过。在本文示例中，请求中签名参数里的 md5hash 为 fbe5e26c0b7abe1431c****7f7bdc278。
   • 判断签名是否失效。服务端使用签名参数（本文示例为 auth_key）中的 timestamp 计算签名失效时间（timestamp + 有效时长），并与当前时间进行对比。如果签名失效时间晚于当前时间，则判定签名未失效，校验通过。

   说明

   • 对于 RTMP、FLV 等用于长时间直播拉流的协议，当用户发起拉流请求时，视频直播服务端会对鉴权参数进行校验。一旦校验通过，用户可以持续拉流，不受签名失效时间的影响。因此，只要在签名失效前已经发起请求，拉流就不会因签名失效而中止。仅新发起的拉流请求会因签名失效而失败。
   • HLS 和 DASH 协议用于分段视频播放，用户会不断地发起新的拉流请求，以获取后续分段内容。用户每次发起拉流请求时，视频直播服务端均会对鉴权参数进行校验。因此，一旦签名失效，请求将被拒绝，导致播放中断。由于直播播放过程中需要持续请求后续分段内容，因此建议设置较长的签名失效时间，以避免直播中途播放失败。
3. 根据校验结果，判断请求是否合法。
   • 校验通过：请求合法，响应请求。用户可以正常拉流。
   • 校验未通过：请求不合法，返回 403 错误，拒绝请求。用户无法拉流，从而保护直播资源。

控制台配置 #

B 类鉴权方式 #

工作原理 #

鉴权 URL 格式：

原始URL?volcSecret=md5(/{AppName}/{StreamName}{key}{timestamp})&volcTime=timestamp

基于 md5(/{AppName}/{StreamName}{key}{timestamp}) 计算签名值。在本文示例中，/{AppName}/{StreamName}{key}{timestamp} 取值为 /live/test123abc1758296819，对该取值进行 MD5 加密生成 32 位小写字符串，则获得 1e2ea5d60de5adcf5****688ccd76915。

鉴权 URL 示例：

http://pull.example.com/live/test.flv?volcSecret=1e2ea5d60de5adcf5****688ccd76915&volcTime=1758296819

鉴权流程 #

1. 视频直播服务端收到用户鉴权 URL 的请求后，对 /{AppName}/{StreamName}{key}{timestamp}取值进行 MD5 加密生成 32 位小写字符串。在本文示例中，最终生成的字符串为 1e2ea5d60de5adcf5****688ccd76915。
2. 视频直播服务端对鉴权 URL 中的鉴权参数进行校验。如果同时满足以下校验，则校验通过。
   • 判断服务端计算出的签名值与请求中签名参数（本文示例为 volcSecret）的值是否一致。一致，则校验通过。在本文示例中，签名参数的值为 1e2ea5d60de5adcf5****688ccd76915。
   • 判断签名是否失效。服务端将时间戳参数（本文示例为 volcTime）的值作为 timestamp，计算签名失效时间（timestamp + 有效时长），并与当前时间进行对比。如果签名失效时间晚于当前时间，则判定签名未失效，校验通过。

   说明

   • 对于 RTMP、FLV 等用于长时间直播推流或拉流的协议，当用户发起推流或拉流请求时，视频直播服务端会对鉴权参数进行校验。一旦校验通过，用户可以持续推流或拉流，不受签名失效时间的影响。因此，只要在签名失效前已经发起请求，推流或拉流就不会因签名失效而中止。仅新发起的推流或拉流请求会因签名失效而失败。
   • HLS 和 DASH 协议用于分段视频播放，用户会不断地发起新的拉流请求，以获取后续分段内容。用户每次发起拉流请求时，视频直播服务端均会对鉴权参数进行校验。因此，一旦签名失效，请求将被拒绝，导致播放中断。由于直播播放过程中需要持续请求后续分段内容，因此建议设置较长的签名失效时间，以避免直播中途播放失败。
3. 根据校验结果，判断请求是否合法。
   • 校验通过：请求合法，响应请求。用户可以正常推流或拉流。
   • 校验未通过：请求不合法，返回 403 错误，拒绝请求。用户无法推流或拉流，从而保护直播资源。

控制台配置 #

C 类鉴权方式 #

工作原理 #

鉴权 URL 格式：

原始URL?txSecret=md5({key}{StreamName}{timestamp})&txTime=timestamp

基于 md5({key}{StreamName}{timestamp}) 计算签名值。在本文示例中，{key}{StreamName}{timestamp} 取值为 123abctest68cd7af3，对该取值进行 MD5 加密生成 32 位小写字符串，则获得 73af6af9c874d9d4****f8490325cd7b。

鉴权 URL 示例：

http://pull.example.com/live/test.flv?txSecret=73af6af9c874d9d4****f8490325cd7b&txTime=68cd7af3

鉴权流程 #

1. 视频直播服务端收到用户鉴权 URL 的请求后，对 {key}{StreamName}{timestamp} 取值进行 MD5 加密生成 32 位小写字符串。在本文示例中，最终生成的字符串为 73af6af9c874d9d4****f8490325cd7b。
2. 视频直播服务端对鉴权 URL 中的鉴权参数进行校验。如果同时满足以下校验，则校验通过。
   • 判断服务端计算出的签名值与请求中签名参数（本文示例为 txSecret）的值是否一致。一致，则校验通过。在本文示例中，签名参数的值为 73af6af9c874d9d4****f8490325cd7b。
   • 判断签名是否失效。服务端将时间戳参数（本文示例为 txTime）的值作为 timestamp，计算签名失效时间（timestamp + 有效时长），并与当前时间进行对比。如果签名失效时间晚于当前时间，则判定签名未失效，校验通过。

   说明

   • 对于 RTMP、FLV 等用于长时间直播拉流的协议，当用户发起拉流请求时，视频直播服务端会对鉴权参数进行校验。一旦校验通过，用户可以持续拉流，不受签名失效时间的影响。因此，只要在签名失效前已经发起请求，拉流就不会因签名失效而中止。仅新发起的拉流请求会因签名失效而失败。
   • HLS 和 DASH 协议用于分段视频播放，用户会不断地发起新的拉流请求，以获取后续分段内容。用户每次发起拉流请求时，视频直播服务端均会对鉴权参数进行校验。因此，一旦签名失效，请求将被拒绝，导致播放中断。由于直播播放过程中需要持续请求后续分段内容，因此建议设置较长的签名失效时间，以避免直播中途播放失败。
3. 根据校验结果，判断请求是否合法。
   • 校验通过：请求合法，响应请求。用户可以正常拉流。
   • 校验未通过：请求不合法，返回 403 错误，拒绝请求。用户无法拉流，从而保护直播资源。

控制台配置 #