JavaScript阿里云OSS CDN URL三种鉴权方式

URL鉴权

URL鉴权功能旨在保护用户上传到视频点播的内容资源不被非法站点下载盗用，可通过控制台配置。本文为您简要介绍了URL鉴权的原理和鉴权方法。

背景

一般情况下，可以通过配置访问Referer黑名单和白名单来实现对访客身份的识别和过滤，保护站点资源。但由于Referer内容可以伪造，采用URL鉴权方式更为安全有效。

原理

URL鉴权功能通过阿里云CDN加速节点与客户资源站点配合，形成了更为安全可靠的源站资源防盗方法。

1. 由CDN客户站点提供给用户加密 URL（包含权限验证信息）。
2. 用户使用加密后的 URL 向加速节点发起请求。
3. 加速节点对加密 URL 中的权限信息进行验证以判断请求的合法性，对合法请求给予正常响应，并拒绝非法请求，从而有效保护CDN客户站点资源。

阿里云配置方法

您可以在控制台的域名管理页面配置URL鉴权，具体操作，请参见URL鉴权。

• 开启URL鉴权后，阿里云VOD的播放器SDK，以及获取播放地址的API/SDK都会自动生成带时效的播放URL。如您需要生成鉴权的动态URL，请使用下述鉴权方法。
• 主Key和备Key拥有同样的效力，备Key主要用于平滑更换。若主KEY执行更换，所有使用主KEY生成的播放地址会立即失效。备KEY作为主KEY更换时，使用主KEY的播放地址不会马上中断，备KEY可以继续替代主KEY提供服务。
• 设置目标域名下URL地址的全局默认有效时长后，可对单个URL定制有效时长。

JavaScript鉴权方法整理

摸索一整子后整理出了三种鉴权方式，比较常用的是鉴权方式C（某瓜视频就是）、鉴权方式B

当然这个的选择无关紧要，三种方式均可行。

鉴权方式一

// 鉴权方式A
    function authenticationA(value) {
      let index = value.lastIndexOf(".com");
      let numberSts = Date.parse(new Date());
      numberSts = (numberSts + 60 * 60 * 1000) / 1000; //时限一天，一天后会失效
      let num = Number(numberSts);
      let key = 'vGbBhYSUYxRgBWwGNqvcUpuZxA5Vl9ic';//key是阿里云生成的
      if (adders == '') {//测试服key
        key = 'vGbBhYSUYxRgBWwGNqvcUpuZxA5Vl9iQ';
      } else {//正式服key
        key = 'Z1tlQZTHe2f8cGMihG0cAl7tCUizir1q';
      }
      let timeStr = num.toString(16).toLocaleUpperCase();
      let filename = value.substring(index + 5, value.length);
      let str = "/" + filename + "-" + timeStr + "-0-0-" + key;
      let md5str = md5(str);
      let authKey = "auth_key=" + timeStr + "-0-0-" + md5str;
      let domain = value.substring(0, index + 4);
      result = domain + "/" + filename + "?" + authKey;
      return result;
    }

鉴权方式二

// 鉴权方式B
    function authenticationB(value) {
      let index = value.lastIndexOf(".com");
      let numberSts = Date.parse(new Date());
      numberSts = (numberSts + 60 * 60 * 1000) / 1000;//时限一天，一天后会失效
      let num = Number(numberSts);
      let key = 'vGbBhYSUYxRgBWwGNqvcUpuZxA5Vl9ic';//key是阿里云生成的
      if (adders == '') {//测试服key
        key = 'vGbBhYSUYxRgBWwGNqvcUpuZxA5Vl9iQ';
      } else {//正式服key
        key = 'Z1tlQZTHe2f8cGMihG0cAl7tCUizir1q';
      }
      let timeStr = num.toString(16).toLocaleUpperCase();
      let filename = value.substring(index + 5, value.length);
      let str = key + timeStr + "/" + filename;
      let md5str = md5(str);
      let domain = value.substring(0, index + 4);
      result = domain + "/" + timeStr + "/" + md5str + "/" + filename;
      return result;
    }

鉴权方式三

// 鉴权方式C
    function authenticationC(value) {
      let index = value.lastIndexOf(".com");
      let numberSts = Date.parse(new Date());
      numberSts = (numberSts + 60 * 60 * 1000) / 1000;//时限一天，一天后会失效
      let num = Number(numberSts);
      let key = 'vGbBhYSUYxRgBWwGNqvcUpuZxA5Vl9iC';
      if (adders == '') {//测试服key
        key = 'vGbBhYSUYxRgBWwGNqvcUpuZxA5Vl9iQ';
      } else {//正式服key
        key = 'Z1tlQZTHe2f8cGMihG0cAl7tCUizir1q';
      }
      let timeStr = num.toString(16).toLocaleUpperCase();
      let filename = value.substring(index + 5, value.length);
      let str = key + '/' + filename + timeStr;
      let md5str = md5(str);
      let domain = value.substring(0, index + 4);
      result = domain + '/' + md5str + '/' + timeStr + '/' + filename;
      return result;
    }

总结

每种鉴权方式都差不多，无非是加密字符串然后拼接URL地址

测试下看看效果，就柳暗花明了。

// 测试
    const value = 'http://test.vcache.baidu.com/video-hall/videos/2020/12/31/2020123122191210192946281.mp4';
    const adders = '';//一般测试服一个key正式服一个key
    let a = authenticationA(value)
    let b = authenticationB(value)
    let c = authenticationC(value)
    console.log(a)//http://test.vcache.baidu.com/video-hall/videos/2020/12/31/2020123122191210192946281.mp4?auth_key=5FF28E39-0-0-fb94d917cabc02a64364ee8015b25d8d
    console.log(b)//http://test.vcache.baidu.com/5FF28E60/1a39458cbd414633164754359d74da58/video-hall/videos/2020/12/31/2020123122191210192946281.mp4
    console.log(c)//http://test.vcache.baidu.com/de4e7077d5a30605f9b2395a2741b99d/5FF28E77/video-hall/videos/2020/12/31/2020123122191210192946281.mp4

只要你不怕问题，问题就怕你。

新的一年，加油，打工人！