本文介绍在spring boot项目中结合华为云obs与cdn，利用临时签名url对图片/视频资源进行时效性授权访问，从代码侧实现资源私有化，有效防止未授权盗链和泄露。
本文介绍在spring boot项目中结合华为云obs与cdn，利用临时签名url对图片/视频资源进行时效性授权访问，从代码侧实现资源私有化，有效防止未授权盗链和泄露。
在使用华为云OBS配合CDN分发图片或视频时，直接暴露对象的公开URL（如 https://cdn.example.com/photo.jpg）存在严重安全隐患——一旦URL被截获或传播，他人即可无限次访问，失去访问控制能力。虽然OBS服务端可通过Bucket Policy、Referer黑白名单或IP限制等方式增强防护，但真正可落地、可编程、细粒度可控的方案，是在应用层动态生成带时效性的签名URL（Signed URL）。
该机制的核心原理是：由后端服务调用OBS SDK，基于Access Key、Secret Key及请求参数（HTTP方法、Bucket名、对象路径、过期时间等）生成一个含HMAC-SHA256签名的临时URL。该URL仅在指定时间内有效，且绑定具体操作（如GET），过期后自动失效，即使被泄露也无风险。
以下为Spring Boot中集成华为云OBS生成签名URL的关键代码示例（需引入obs-sdk-java依赖）：
import com.obs.services.ObsClient;
import com.obs.services.model.TemporarySignatureRequest;
import com.obs.services.model.TemporarySignatureResponse;
import org.springframework.stereotype.Service;
@Service
public class ObsUrlService {
private final ObsClient obsClient;
public ObsUrlService() {
// 生产环境请从配置中心或Spring Boot配置文件注入AK/SK及Endpoint
this.obsClient = new ObsClient(
"your-access-key",
"your-secret-key",
"https://obs.cn-north-4.myhuaweicloud.com" // 华为云OBS区域Endpoint
);
}
/**
* 生成限时可读的私有资源签名URL
* @param bucketName 存储桶名称
* @param objectKey 对象路径（如 "videos/user123/intro.mp4"）
* @param expireSeconds 过期秒数（建议 300–3600，即5分钟至1小时）
* @return 有效期内的临时访问URL
*/
public String generatePrivateUrl(String bucketName, String objectKey, int expireSeconds) {
TemporarySignatureRequest request = new TemporarySignatureRequest();
request.setMethod("GET");
request.setBucketName(bucketName);
request.setObjectName(objectKey);
request.setExpires(expireSeconds);
TemporarySignatureResponse response = obsClient.createTemporarySignature(request);
return response.getSignedUrl();
}
}
✅ 关键实践建议：
- 时效性优先：将 expireSeconds 设置为业务可接受的最短时长（例如播放前10分钟生成、单次有效300秒），显著降低URL泄露风险；
- 权限最小化：签名仅授予 GET 权限，禁止 PUT/DELETE 等写操作；
- 动态生成，按需下发：前端请求资源时，后端校验用户身份（如JWT Token、Session）后实时生成并返回签名URL，绝不缓存或预生成；
- 避免硬编码密钥：AK/SK 必须通过Spring Boot的 application.yml 或密钥管理服务（如KMS）安全注入，严禁写死在代码中；
- CDN协同注意：签名URL本身已含鉴权信息，CDN节点无需额外配置鉴权规则（如防盗链Referer），但需确保CDN回源OBS时使用原始签名URL，而非剥离签名参数的简化URL。
⚠️ 重要提醒：
签名URL并非“绝对安全”的银弹——它无法防御已获URL的合法用户二次分享，也无法阻止客户端录屏或抓包下载。若需更高安全等级（如DRM加密、动态水印、播放器级Token校验），应结合华为云视频点播（VOD）服务的播放凭证（PlayAuth）或自定义鉴权回调方案进一步加固。
综上，签名URL是从代码侧实现资源私有化的轻量、高效、标准兼容方案，适用于绝大多数Spring Boot + 华为云OBS场景，兼顾安全性与开发效率。
