利用 Nginx secure_link 模块实现基于 IP 绑定的高安全性私有视频流播放权限-Nginx-PHP中文网

原生secure_link无法实现IP绑定，因其签名生成与校验均不支持动态嵌入或比对$remote_addr；它仅基于预设密钥、URI及过期时间做单向哈希校验，无运行时IP提取与验证机制。

利用 nginx secure_link 模块实现基于 ip 绑定的高安全性私有视频流播放权限

直接用 Nginx 的 secure_link 模块实现“IP 绑定”的私有视频流播放权限，存在根本性限制——secure_link 本身不支持动态嵌入客户端 IP 到签名中。它只校验 URL 中携带的哈希签名是否匹配服务端用预设密钥 + 固定字符串（如文件路径、过期时间）生成的结果，无法在签名阶段自动加入请求方真实 IP 并在验证时比对。

为什么原生 secure_link 无法真正绑定 IP

secure_link 的工作流程是单向校验：

签名生成依赖服务端可控变量（如 $uri、$arg_e 过期时间、自定义变量），但 $remote_addr 在生成签名时不可用于构造原始签名串（因为签名需提前生成并写入 URL，而服务端无法预知谁会访问）；
验证阶段，Nginx 只重新计算一次哈希，对比 URL 中的 secure_link 参数，不执行“取出当前请求 IP，再拼进验证逻辑”的操作；
即使通过 secure_link_md5 手动构造含 IP 的签名，也无法在验证时让 Nginx 自动提取并参与比对——模块无此机制。

可行的高安全性替代方案（推荐）

要实现“该链接仅限某 IP 访问”，需组合使用 Nginx 原生能力与外部控制逻辑：

方案一：Token + IP 白名单（轻量可靠）
后端生成 token 时，将 ip_hash（如 md5($remote_addr + secret + expire)）作为签名一部分，URL 形如 /video/abc.mp4?token=xxx&e=1717020000；Nginx 用 secure_link 校验 token 和过期时间，再用 map + if 对比请求 IP 与 token 解析出的 IP（需后端把 IP base64 编码进 token 或拆成独立参数）；
方案二：Lua 脚本动态验证（灵活强控）
使用 nginx-lua-module，在 access_by_lua_block 中解析 token、还原原始 IP、比对 $remote_addr，不匹配直接返回 403；可结合 Redis 缓存 token 状态，支持即时吊销；
方案三：JWT 签名 + Nginx auth_request（标准可扩展）
后端签发 JWT，payload 含 ip、exp、file；Nginx 用 auth_request 转发到内部鉴权服务（如 Python/Go 微服务），由其解析 JWT 并校验 IP 是否一致，返回 200 或 403。

若坚持用 secure_link，只能做“弱 IP 关联”

适用于对安全性要求不高、仅需简单区分网络段的场景：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

用 map 指令将不同 IP 段映射到不同密钥：
```
map $remote_addr $secure_key {<br>  ~^192\.168\.1\. $key_office;<br>  ~^10\.0\.0\. $key_internal;<br>  default $key_public;<br>}
```
再在 secure_link_md5 中使用 $secure_key，使同一 URL 对不同网段产生不同校验结果；
缺点明显：无法精确到单 IP，且密钥映射需重启或重载 Nginx 才生效，不支持运行时策略变更。