如何基于用户登录状态实现内容访问控制-php教程-PHP中文网

如何基于用户登录状态实现内容访问控制

本文介绍如何在在线学习网站中安全地限制视频内容的访问权限，仅允许已登录且订阅的会员观看完整视频，同时支持未登录用户浏览免费试看片段。

本文介绍如何在在线学习网站中安全地限制视频内容的访问权限，仅允许已登录且订阅的会员观看完整视频，同时支持未登录用户浏览免费试看片段。

在构建在线教育平台时，内容分级访问是核心功能之一：既要保障付费会员权益，又要提供有限的免费体验以促进转化。实现这一目标的关键不在于前端“隐藏”视频链接，而在于服务端驱动的权限校验与分层内容交付。

一、基础身份验证：会话（Session）机制

用户登录后，服务端应通过 HTTPS 接收凭证（如邮箱+密码），验证通过后生成唯一、有时效性的 session ID，并通过 Secure + HttpOnly + SameSite=Strict 的 Cookie 返回给浏览器。后续所有受保护资源请求（如 /api/video/123/stream）均需携带该 Cookie，服务端在响应前强制校验：

// 示例（Node.js/Express 中间件）
app.get('/api/video/:id/stream', requireAuth, (req, res) => {
  const { id } = req.params;
  const user = req.session.user;

  // 检查是否为有效订阅会员
  if (!user || !user.isSubscribed) {
    return res.status(403).json({ error: 'Access denied: subscription required' });
  }

  // 返回完整视频流（如通过 X-Accel-Redirect 或流式响应）
  res.sendFile(path.join(videoDir, `${id}.mp4`));
});

⚠️ 注意：切勿仅依赖前端 JavaScript 判断 isLoggedIn —— 这极易被绕过。所有关键鉴权逻辑必须在服务端完成。

二、精细化内容分层：试看 vs. 全量

针对“部分视频可试看”的需求，推荐两种可靠方案：

独立试看资源路径
将试看片段（如前90秒）预生成为独立小文件（video_123_preview.mp4），并配置为公开可访问；而完整视频路径（video_123_full.mp4）严格受 requireAuth 保护。前端根据用户状态动态切换。
服务端时间戳裁剪（进阶）
使用 FFmpeg 等工具在服务端实时截取指定时间段（如 ?start=0&end=90），仅对未登录用户开放该接口，且限制请求频率与并发数。

三、防范视频盗链与录屏：现实边界与应对策略

需明确：任何客户端播放的视频均可被技术手段录制或下载（如浏览器开发者工具抓流、屏幕录制）。因此：

✅ 应对措施：
- 对完整视频使用 AES-128 加密（HLS）或 DRM（如 Widevine / FairPlay）；
- 关键密钥由服务端按 session 动态签发，绑定用户身份与设备指纹；
- 启用 Referer 白名单与 Token 验证防止盗链；
- 在视频水印中嵌入用户 ID（动态叠加），实现行为溯源。
❌ 不可行方案：
试图通过禁用右键、屏蔽 DevTools 或 JS 混淆阻止下载——这些仅增加普通用户门槛，无法抵御有心者。