PHP怎么隐藏视频真实播放地址防盗链-php教程-PHP中文网

php无法直接隐藏视频真实地址，但可通过代理输出流、签名url过期验证、referer/ua服务器层校验及分片加密等方式控制访问权限，核心是禁止静态直链并动态校验每次请求。

php怎么隐藏视频真实播放地址防盗链

PHP本身不能直接“隐藏”视频的真实播放地址，但可以通过动态生成临时访问凭证、后端代理输出和Referer/UA校验等方式，让真实地址不被公开暴露或被非法盗链。核心思路是：不让视频文件通过静态URL直接访问，而是由PHP脚本控制是否允许下载/播放，并在每次请求时做权限验证。

1. 使用PHP代理输出视频流（推荐）

将视频文件放在Web根目录外（如 /var/www/private/videos/），不对外直接可访问。用户请求播放时，由PHP脚本读取文件并以流式响应输出，同时添加必要的HTTP头：

设置 Content-Type（如 video/mp4）
设置 Accept-Ranges: bytes 支持拖拽播放
检查登录状态、IP、Referer、时间戳等权限
使用 readfile() 或 fopen()+fpassthru() 流式输出，避免内存溢出

示例关键代码：

// play.php?token=xxx&vid=123
$token = $_GET['token'] ?? '';
$vid  = (int)$_GET['vid'];
<p>if (!validateToken($token, $vid)) {
http_response_code(403);
exit('Forbidden');
}</p><p>$videoPath = '/var/www/private/videos/' . $vid . '.mp4';
if (!is_file($videoPath)) {
http_response_code(404);
exit;
}</p><p>header('Content-Type: video/mp4');
header('Accept-Ranges: bytes');
header('Cache-Control: public, max-age=3600');</p><p>// 支持断点续传（简化版）
if (isset($_SERVER['HTTP_RANGE'])) {
// 实现 Range 处理逻辑（略）
} else {
readfile($videoPath);
}
</p>

2. 签名URL + 过期时间（简单有效）

生成带签名和过期时间的临时URL，例如：
https://yoursite.com/video.php?vid=123&expires=1717023600&sign=abc123
PHP在 video.php 中验证：

当前时间 ≤ expires
sign = md5("vid=123&expires=1717023600&secret_key")
可额外加入用户ID、IP哈希增强安全性

验证通过后，再走代理输出流程（见上一条）。这种方式便于前端JS动态生成播放地址，也兼容HLS/DASH的m3u8分片请求。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

3. 配合Web服务器做Referer和User-Agent限制（辅助手段）

仅靠PHP不够，建议在Nginx/Apache层面加一层过滤，拦截明显异常请求：

Nginx中用 valid_referers 拒绝非白名单来源
禁止空Referer（但注意移动端WebView可能为空）
不依赖UA，因极易伪造；仅作初级筛选

示例Nginx配置片段：

location ~* \.(mp4|webm|ogg)$ {
    valid_referers none blocked yoursite.com *.yoursite.com;
    if ($invalid_referer) {
        return 403;
    }
    # 后续交由PHP处理或直接返回文件（不推荐直出）
}