保护Flash播放器中的mp3文件路径

Question

我的网站中有 flash 播放器用于播放 mp3 文件。但是如果有人使用“viewsource”或任何浏览器工具（例如 firebug），那么他们可以找到参数，然后整理出实际的 mp3 文件 url。我在中使用 php我的后端。应该有办法隐藏这些参数，但不知道如何隐藏？

有什么想法吗？

Answer 1

前言：如果你在网络上展示它，你就可以窃取它。时期。

也就是说，您可以通过将文件的 URL 传递给执行以下两件事的 php 脚本来屏蔽文件的 URL，从而使其变得更加困难：

1) 转换加密的 GET 参数，该参数可以被验证并且只能使用一次（存储变量）在数据库或日志中）。该代码将在播放器加载时创建，一旦开始缓冲，该文件就无法再次使用。这样参数就不能只是一个随机字符串（它必须是可解密的），并且用户不能只使用相同的 URL。

用户收到的 html 页面中的 php 看起来像这样：

$key = 'My EnCyption Key';
$unique_string = "Generated at ".time().$_SERVER['REMOTE_ADDR']; //the time element changes the string each time and the IP address controls for multiple users simultaneously loading the same page
$tolken = base64_encode(mcrypt_encrypt(MCRYPT_RIJNDAEL_256, md5($key), $string, MCRYPT_MODE_CBC, md5(md5($key))));

然后 Flash 播放器将被设置为使用 mp3 文件：

http://yoursite.com/mp3/file_fetcher.php?file_id=123&tolken=<?php echo $tolken;?>

文件 file_fetcher.php 将具有类似这样的内容（显然是这样的）需要一些充实）：

$fixed_string_part = "Generated at ";
$decrypted = rtrim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, md5($key), base64_decode($_GET['tolken']), MCRYPT_MODE_CBC, md5(md5($key))), "\0");
if (substr($decrypted,0,strlen($fixed_string_part))!=$fixed_string_part){
   die("Your tolken is invalid");
}
//check that the tolken hasn't been used before:
$check_query = mysql_query("select * from `mp3_tolken_log` where `tolken`='$decrypted';",[connection identifier]); //write this more cleanly
if (mysql_num_rows($query)){
    die("You've already used that tolken!");
} else {
   $log_it = mysql_query("insert into `mp3_tolken_log` (`tolken`,`dateadded`) VALUES ($decrypted,NOW())"); //make sure it's in there so it can't be used again
}

//now get the file if we haven't already died
$contents = file_get_contents([path/to/mp3/file/specified/by/id/$_GET['file_id']]);
header('Content-Type: audio/mpeg');
echo $contents;

---

2）检查引用站点是否是您自己的站点（而不是他们尝试直接访问脚本）。例如：

if (!isset($_SERVER['HTTP_REFERER'])){die("Restricted Access!");};
$_u=parse_url($_SERVER['HTTP_REFERER']);
$_u=preg_replace("/(www.)/i","",strtolower($_u['host']));
$_i=$_SERVER['HTTP_HOST'];
$_i=preg_replace("/(www.)/i","",strtolower($_i));
($_u == $_i) or die("Restricted Access!");

当然，这些信息可以伪造，但在它和单次访问通行证之间，您不必担心直接下载。也就是说，请记住，有一百万种方法可以从流中获取文件，并且没有办法阻止它。