核心是通过PHP控制视频流输出，防止直接访问。将视频存于非公开目录，用readfile()或fread()逐块输出，配合Content-Type、Accept-Ranges等HTTP头支持播放拖动；结合用户登录验证、IP限制、token校验增强安全。采用时效性token（含时间戳与HMAC签名）防止链接泄露，适用于付费内容。通过$_SERVER['HTTP_REFERER']检查来源域名防盗链，但需结合其他措施防伪造。高价值内容可启用HLS/DASH加密，使用FFmpeg生成AES-128加密分片，m3u8文件由PHP动态生成，密钥通过独立接口授权访问。综合路径隐藏、权限校验、token机制、流式传输与服务器配置，构建多层防护体系。
PHP视频安全播放的核心在于防止视频文件被直接下载、盗链或未授权访问。单纯依靠前端控制无法保证安全，必须结合后端逻辑与服务器配置实现综合防护。以下是几种实用且有效的防护方案。
1. 使用PHP读取并输出视频流
将视频文件存放在Web根目录之外，通过PHP脚本控制访问权限，用户无法直接获取视频URL。
实现方式：
- 视频文件存储在非公开目录，如
/var/videos/。 - 通过PHP的
readfile()或fopen()配合fread()逐块输出视频数据。 - 设置正确的HTTP头（如Content-Type、Content-Length、Accept-Ranges），支持播放器拖动进度条。
示例代码片段：
立即学习“PHP免费学习笔记（深入）”；
header('Content-Type: video/mp4');
header('Content-Length: ' . filesize($videoPath));
header('Accept-Ranges: bytes');
readfile($videoPath);
exit;
可在此基础上加入用户登录验证、IP限制、token校验等逻辑。
2. Token时效化访问控制
为每个视频请求生成一次性或有时效的访问令牌，防止URL被分享或爬取。
操作建议：
- 生成带时间戳和签名的token，例如：
?token=abc123&expires=1730000000。 - PHP接收请求后验证token有效性（如HMAC签名、是否过期）。
- token可通过用户会话绑定，提升安全性。
这种方式能有效防止链接泄露，适合会员制或付费视频场景。
3. 防盗链与Referer检查
限制请求来源，阻止其他网站嵌入你的视频资源。
实施方法：
- 在PHP中检查
$_SERVER['HTTP_REFERER']是否来自允许的域名。 - 结合Nginx/Apache配置更高效的防盗链规则。
- 注意：Referer可伪造，仅作为辅助手段。
建议与其他机制组合使用，不单独依赖。
4. 视频加密与DRM（进阶方案）
对高价值内容，可采用HLS/DASH分片加密，配合密钥服务（Key Server）控制解密权限。
常见做法：
- 使用FFmpeg将视频转为加密的HLS格式（AES-128）。
- m3u8索引文件由PHP动态生成，根据权限决定是否返回加密信息。
- 密钥（key）通过独立接口提供，并做访问限制。
此方案复杂度较高，但能大幅提高破解成本。
基本上就这些。关键点是：不要暴露真实路径，用PHP做权限中转，结合token和流式输出，再辅以服务器层防护，就能构建一个相对安全的视频播放系统。
