我想使用一些系统来创建受保护/唯一的 url 用于下载和流式传输。例如我们有：
domain/file.mp4
为了让用户能够下载该文件，我想把它放在一个带有下载按钮和流媒体播放器的 php 页面中，这样它将是：
域名/下载?=file.mp4
在生成的php页面里面，下载地址是：
domain/file.mp4? AccessKeyId=AXIXI
因此，用户将无法共享该链接。 我什至不知道这是否可能，只是在这里寻求一些想法。
【问题讨论】：
使用 cookie 来验证下载链接。如果两者匹配，则允许下载。
例如，包含下载链接的 PHP 文件可以按如下方式生成：
<?php
///// Put these two lines in a shared config file: /////
define('SALT','*** Insert a random string here ***');
define('RESOURCES_DIRECTORY', '/home/eazy/files/');
////////////////////////////////////////////////////////
function get_download_url($filename) {
$expire = time() + 3600; // Link expires in 1 hour
$auth_data = "f=$filename&e=$expire";
$cookie_key = md5($auth_data . SALT);
setcookie('key',$cookie_key,0,'/');
return "/download.php?$auth_data";
}
?>
<a href="<?= get_download_url('my_video.mp4') ?>" rel="nofollow">Download video</a>
然后/download.php文件就可以认证下载了，如下：
<?php
$filename = @$_GET['f'];
$expire = intval(@$_GET['e']);
$auth_data = "f=$filename&e=$expire";
$cookie_key = md5($auth_data . SALT);
$file = RESOURCES_DIRECTORY . $filename;
if (@$_COOKIE['key'] != $cookie_key || $expire < time() || !file_exists($file)) {
header('HTTP/1.1 404 Not Found');
die("File not found");
}
else {
header('Content-Type: video/mp4');
header('Content-Length: ' . filesize($file));
readfile($file);
}
如果您可以避免产生open_basedir restriction 错误，请将可下载文件存储在您的 WWW 目录之外。这样，用户就别无选择，只能使用此脚本访问文件，并且只有在访问包含下载链接的页面获得有效 cookie 时才能成功。
注意：此代码将阻止随意的链接共享，但不是超级安全，也不会阻止人们共享下载的文件。没有必要过于偏执，因为人们仍然可以共享下载的文件，即使他们无法轻松共享下载链接。
【讨论】：