如何安全地提供音乐文件下载链接（PHP Token 鉴权方案）-php教程-PHP中文网

如何安全地提供音乐文件下载链接（PHP Token 鉴权方案）

本文介绍通过时间敏感、一次性 token 实现音乐文件安全分发的方法，避免直接暴露真实文件路径，防止未授权下载与链接盗用。

本文介绍通过时间敏感、一次性 token 实现音乐文件安全分发的方法，避免直接暴露真实文件路径，防止未授权下载与链接盗用。

在音乐类 Web 应用中，直接暴露如 https://example.com/music/get/5 这类静态 ID 接口存在严重安全隐患：用户可轻易枚举 ID、反复请求、批量下载，甚至将链接分享给他人，完全绕过权限控制与业务逻辑（如付费校验、播放次数限制、会员状态等）。

根本解决思路：不暴露真实文件路径，改用「有状态、有时效、可验证」的临时访问凭证。 推荐采用 URL Token 鉴权机制，即：前端请求时携带签名 Token，后端在响应前实时校验其合法性（来源、时效、权限、防重放），校验通过才流式输出音频文件。

tokenrouter-image-generator

通过 Palebluedot AI(PBD)-TokenRouter 的多模态图像生成端点（`/v1/chat/completions`）使用 TokenRouter 兼容的方式生成或编辑图像...

下载

✅ 推荐实现方案：HMAC-SHA256 + 时间戳 + 随机盐

// 1. 生成安全下载链接（例如在用户点击“下载”时调用）
$musicId = 5;
$expires = time() + 300; // 5分钟有效期
$secretKey = $_ENV['FILE_TOKEN_SECRET'] ?? 'your_strong_secret_here'; // 务必存于环境变量！
$token = hash_hmac('sha256', "$musicId|$expires", $secretKey);
$downloadUrl = "/music/get/{$musicId}?t={$token}&e={$expires}";

// 前端使用该 URL 发起请求（如 <audio src="%24downloadUrl"> 或 fetch）</audio>

// 2. 后端 /music/get/{id} 路由处理逻辑（精简核心校验）
require_once 'vendor/autoload.php';

$id = (int) $_GET['id'] ?? 0;
$token = $_GET['t'] ?? '';
$expires = (int) $_GET['e'] ?? 0;

if (!$id || !$token || $expires isAccessibleToCurrentUser()) { // 自定义权限检查
    http_response_code(403);
    die('Access denied');
}

// 验证 Token
$expectedToken = hash_hmac('sha256', "{$id}|{$expires}", $_ENV['FILE_TOKEN_SECRET']);
if (!hash_equals($expectedToken, $token)) { // 使用 hash_equals 防时序攻击
    http_response_code(403);
    die('Invalid signature');
}

// ✅ 校验通过：安全输出文件（复用您原有逻辑，但移除危险 header）
$filename = $file->link;
$length = $file->size;

header('Access-Control-Allow-Origin: *');
header('Access-Control-Expose-Headers: Content-Length, Content-Range, Accept-Ranges');
header('Content-Type: audio/mpeg');
header('Content-Length: ' . $length);
header('Content-Range: bytes 0-' . ($length - 1) . '/' . $length);
header('Content-Disposition: inline; filename="' . basename($filename) . '"');
header('Cache-Control: no-store, no-cache, must-revalidate');
header('Pragma: no-cache');
header('Accept-Ranges: bytes');

// ⚠️ 关键修正：移除原始代码中重复且不安全的 Content-type 和 Content-Transfer-Encoding
// readfile() 前确保无输出缓冲干扰
ob_end_clean();
readfile($filename);
exit;

? 关键注意事项

永远不要将真实文件路径（尤其是 ./uploads/xxx.mp3）直接返回给前端或写入 HTML 属性；所有资源访问必须经由受控 PHP 脚本中转。
Token 必须绑定 music_id + expires + secret_key，缺一不可；建议额外加入用户 ID 或 session ID 增强绑定性。
使用 hash_equals() 进行 Token 比较，防止计时攻击（Timing Attack）。
文件系统权限需严格限制：音频文件应存放于 Web 根目录外（如 /var/data/audio/），禁止 Apache/Nginx 直接访问。
生产环境务必启用 HTTPS，否则 Token 可被中间人截获重放。
对高频下载行为做服务端限流（如 Redis 计数器），防范暴力枚举。