如果你正在开发体育直播平台推拉流鉴权一定是你绕不开的问题。推流地址被扫到、被盗推、被推违规内容……这些坑我都踩过。本文从高级工程师视角出发完整拆解一套生产级推拉流鉴权方案涵盖动态StreamKey生成、Redis存储设计、ZLMediaKit回调鉴权、播放防盗链等核心环节已通过星逐赛事直播平台生产环境验证。需要查看演示效果或获取源码部署资料的可以搜索星逐赛事找到我们有问必答。欢迎技术同行交流探讨。一、推拉流鉴权的核心挑战推拉流鉴权面临三个核心挑战每个挑战都可能直接导致平台安全事故。挑战一推流地址被暴力扫描推流地址如果固定不变就容易被恶意工具扫描。攻击者可以通过遍历流名称的方式批量获取有效的推流地址。一旦拿到推流地址就可以向平台推送任意内容——违规视频、广告、甚至攻击性内容。挑战二推流权限无法动态校验传统方案中只要推流地址格式正确流媒体服务器就接受推流。这意味着任何拿到推流地址的人都可以推流平台无法区分是合法主播还是恶意攻击者。挑战三播放地址被盗链播放地址一旦泄露就可以被嵌入任何第三方网站消耗平台的CDN带宽资源增加运营成本。二、整体设计方案星逐赛事采用“动态StreamKey 回调鉴权 播放防盗链”三层防护体系。第一层动态StreamKey推流地址每次开播动态生成用完即废。推流地址包含有效期超时自动失效。第二层回调鉴权流媒体服务器收到推流请求后主动回调业务层接口校验StreamKey合法性验证通过才接受推流。第三层播放防盗链播放地址带时效性签名过期无法播放。支持Referer白名单只允许指定域名请求。三、推流鉴权详细设计3.1 推流地址格式设计推流地址格式rtmp://push.domain.com/live/{streamKey}?expire{timestamp}token{sign}streamKey由UUID生成去掉横线长度32位。expire为过期时间戳限制推流地址有效期默认24小时。token为HMAC-SHA256签名防止地址被篡改。3.2 StreamKey生成逻辑主播端请求开播时后端生成StreamKey并存入Redisjavapublic StreamInfo generateStreamKey(Long userId) { String streamKey UUID.randomUUID().toString().replace(-, ); long expireTime System.currentTimeMillis() 24 * 60 * 60 * 1000; String token generateToken(streamKey, expireTime); // 存入Redis有效期24小时 redisTemplate.opsForHash().put(stream: streamKey, userId, userId.toString()); redisTemplate.opsForHash().put(stream: streamKey, expire, String.valueOf(expireTime)); redisTemplate.expire(stream: streamKey, 24, TimeUnit.HOURS); String pushUrl String.format(rtmp://push.domain.com/live/%s?expire%dtoken%s, streamKey, expireTime, token); String playUrl String.format(https://play.domain.com/hls/%s.m3u8, streamKey); return new StreamInfo(pushUrl, playUrl, streamKey); }关键设计点StreamKey存储在Redis的Hash结构中方便同时存储userId、expire等多维信息。推流地址带token签名防止参数被篡改。有效期默认24小时可根据业务场景调整训练模式可设更短。3.3 推流回调鉴权流程主播使用推流地址推流到ZLMediaKit时ZLMediaKit通过HTTP回调业务层接口校验javaPostMapping(/callback/publish) public ResponseEntity? onPublish(RequestBody PublishRequest request) { String streamKey request.getStreamKey(); String token request.getToken(); long expire request.getExpire(); // 1. 校验token合法性 String expectedToken generateToken(streamKey, expire); if (!expectedToken.equals(token)) { return ResponseEntity.status(403).body(Invalid token); } // 2. 校验是否过期 if (System.currentTimeMillis() expire) { return ResponseEntity.status(403).body(Stream key expired); } // 3. 校验Redis中是否存在 Object userId redisTemplate.opsForHash().get(stream: streamKey, userId); if (userId null) { return ResponseEntity.status(403).body(Stream key not found); } // 4. 校验用户是否有推流权限 if (!userService.hasPushPermission(Long.parseLong(userId.toString()))) { return ResponseEntity.status(403).body(No permission); } return ResponseEntity.ok().build(); }鉴权通过条件token签名正确、未过期、Redis中存在、用户有推流权限。任一条件不满足返回403拒绝推流。整个校验过程在ZLMediaKit的hook回调中完成对推流端透明。四、播放防盗链设计播放地址格式https://play.domain.com/hls/{streamKey}.m3u8?auth_key{sign}expire{timestamp}播放防盗链采用与推流类似的签名机制。播放器请求m3u8时CDN节点校验签名和有效期验证通过才返回内容。配置CDN防盗链以阿里云CDN为例开启URL鉴权Type A配置鉴权密钥设置URL有效期默认30分钟。CDN节点自动校验auth_key参数无效或过期请求返回403。Referer白名单在CDN控制台配置Referer白名单只允许指定域名请求播放地址。Referer白名单和URL鉴权同时开启双重防护。五、防盗推的补充机制除了鉴权方案还有几个补充机制可以进一步保障推流安全IP白名单主播端IP固定时可在后台配置IP白名单只允许指定IP推流。流媒体服务器回调业务层时同时校验推流IP是否在白名单中。推流频率限制防止恶意频繁推流消耗资源。同一用户每小时最多推流3次每分钟最多推流1次超出返回429限流错误。通过Redis计数器实现。异常推流自动封禁推流鉴权失败连续5次时自动封禁该IP 1小时。封禁信息存储在Redis中超过阈值时直接拒绝请求不再回调后端。推流内容审核推流成功后对视频流进行实时截图审核。检测到违规内容时调用ZLMediaKit的close_stream接口强制断开推流。审核通过第三方AI服务或自建审核模型实现。六、踩坑经验坑1回调接口超时导致推流失败ZLMediaKit默认回调超时时间10秒。业务层校验逻辑复杂时可能超过10秒导致ZLMediaKit认为鉴权失败。解决方案回调接口改用异步处理先快速返回鉴权结果复杂逻辑异步执行。超时时间延长到30秒。坑2Redis连接池耗尽推流高峰期大量推流请求同时回调后端Redis连接数暴增连接池被占满。解决方案增加Redis连接池大小。本地缓存热点校验结果StreamKey有效性减少Redis查询。使用Redis Pipeline批量查询减少网络往返。坑3推流地址泄露推流地址有效时间24小时如果主播的推流地址被截获24小时内都可以推流。解决方案增加主动失效机制主播结束推流后立即删除Redis中的StreamKey。提供“踢出推流”功能管理员可强制使某个StreamKey失效。增加推流IP绑定推流地址首次使用时绑定IP后续只允许该IP推流。七、总结动态StreamKey加回调鉴权加播放防盗链三层体系的核心设计原则可以归纳为三点推流地址一次一密用完即废从根本上解决固定地址被暴力扫描的问题。每次推流重新生成StreamKey有效期24小时过期自动失效。流媒体服务器回调业务层校验推流鉴权和业务逻辑解耦。ZLMediaKit通过HTTP回调后端后端校验通过才接受推流校验维度包括token签名、有效期、用户权限、IP白名单等。播放端时效性签名防止播放地址被盗链扩散。播放地址带签名和有效期CDN节点校验通过后才返回内容有效防止盗链。
