因为m3u8地址常被js动态生成、base64编码、aes加密或藏于webassembly中，明文正则匹配仅覆盖不到20%场景；可靠方法是通过network面板定位真实请求，再逆向分析fetch/xhr接口、atob解码、referer/cookie校验及js签名逻辑。

为什么直接用正则找 m3u8 地址经常失败？

因为真实页面里 m3u8 地址往往不以明文形式裸露在 HTML 源码中：可能被 JS 动态拼接、藏在 base64 字符串里、通过 AES 加密的 JSON 返回、甚至写在 WebAssembly 模块里。单纯 re.findall(r'https?://\S+\.m3u8', html) 只能捕获不到 20% 的有效地址。

真正可靠的路径是「先定位资源加载行为，再逆向提取」。你需要盯住浏览器开发者工具的 Network 面板 → Filter 输入 m3u8 → 刷新页面，观察实际发起请求的 URL 是怎么生成的。

• 常见模式：JS 调用 fetch() 或 XMLHttpRequest 请求一个接口（如 /api/play?id=123），返回含 m3u8 字段的 JSON
• 更隐蔽情况：地址藏在 video 标签的 data-src 属性里，或由 player.js 内部用 atob() 解码后拼接
• 注意 Referer 和 Cookie：很多视频接口会校验 Referer 头，漏掉就返回 403

用 requests + execjs 解析 JS 拼接的 m3u8 地址

当看到类似 src: atob("aHR0cHM6Ly9leGFtcGxlLmNvbS92aWRlby8xMjMubTN1OA==") + "?t=" + Date.now() 这种代码时，不能靠字符串匹配，得执行 JS 逻辑。

推荐组合：requests 获取页面 HTML → 用 BeautifulSoup 提取内联 <script></script> 或 JS 文件 URL → 用 execjs 执行关键片段。

python学习

Python 编程学习助手 skill，面向零基础用户。 当用户表达以下意图时触发： - 学习 Python 基础概念（变量、数据类型、循环、函数、类等） - 请求 Python 练习题或测验 - 请求审查或调试 Python 代码 - 请求 Python 项目实战指导（爬虫、数据分析、Web 开发等入门项目） - 泛化表述如"教我 Python""我想学编程""Python 怎么写""帮我学 Python" 此 skill

下载

• 安装：pip install requests beautifulsoup4 PyExecJS（注意 PyExecJS 在 Windows 上需额外装 Node.js）
• 关键点：不要尝试运行整段 JS，只提取「生成地址」那一小段，例如：execjs.eval('atob("aHR0cHM6Ly9leGFtcGxlLmNvbS92aWRlby8xMjMubTN1OA==")')
• 警惕 window.location、document.cookie 等浏览器全局变量 —— execjs 默认没有 DOM 环境，需手动 mock 或改用 py_mini_racer（性能更好，但安装稍麻烦）

处理加密的 m3u8 响应体（AES-128）

拿到 m3u8 地址后，用 requests.get(url) 请求，如果响应里出现 #EXT-X-KEY:METHOD=AES-128,URI="https://xxx.com/key"，说明分片是加密的。此时必须先获取密钥，再解密 .ts 片段。

• 密钥 URL 通常和 m3u8 同域，但可能需要携带 Cookie 或 Referer 才能访问
• 密钥是二进制内容（16 字节），不是文本！别用 .text 读取，要用 .content
• 解密示例（用 pycryptodome）：

  from Crypto.Cipher import AES<br>decrypted = AES.new(key, AES.MODE_CBC, iv).decrypt(encrypted_ts)

• 注意：有些站点用自定义 IV（写在 #EXT-X-KEY 的 IV 参数里），有些用全零 IV —— 不看清楚会解出乱码

绕过反爬导致的 m3u8 地址 403/404

很多视频站对 m3u8 接口做了强防护：URL 带有时效性签名、校验 User-Agent、限制 IP 频率、甚至要求 WebSocket 握手后才放行。

• 最简单验证：把浏览器里复制的完整 m3u8 URL 粘贴到 curl -v 或 Postman，看是否返回 403 —— 如果是，说明服务端做了 UA/Referer/Token 校验
• 必须复现浏览器请求头：至少带上 Referer（和播放页 URL 一致）、User-Agent（用最新 Chrome 的）、Cookie（从浏览器复制）
• 更复杂情况：URL 中的 sign=xxx 是由 JS 计算的，需逆向 sign 生成函数（比如 HMAC-SHA256 + 时间戳 + 随机数）
• 别忽略 robots.txt 和 terms of service —— 有些平台明确禁止解析视频流，技术可行 ≠ 合法可用

真正难的从来不是“怎么拿到地址”，而是“怎么让服务器相信你是合法播放器”。每个站点的防护逻辑都不同，没有银弹，只能逐个分析 Network 请求链路。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！