背景

鉴权的功能是防止盗链，别人一直访问你的连接，把你的服务器打爆，当鉴权失败时（md5值计算错误、时间戳过期），nginx直接返回403。
鉴权主要分为四种：

• 时间戳鉴权
• 远程鉴权
• Referer黑白名单
• IP黑白名单

在使用上，一般推荐时间戳鉴权和远程鉴权，或者两者同时使用，剩下两项规避鉴权非常容易。

时间戳鉴权介绍（LSS的方式）

为确保视资源被非法获取，提供token认证和有效期限相结合的播放地址。开启时间戳鉴权后，通过”播放地址+timestamp+secret”的方式获取完整的加密播放地址。

地址如下：

https://domain.com/live/123.m3u8?timestamp=1680709499&secret=af921173a6c64469f31fbba2fa7e7110

算secret，方式为：md5（密钥+播放地址+timestamp）。

• 密钥：在播放认证开关可以获取到播放密钥，按照步骤一已获取。

• 播放地址:/<play.your-domain.com>/{app-name}/{stream-name}。

• timestamp：用户指定播放的超时时间，格式需要转换为十进制 Unix 时间戳，推荐一个在线转换网址。

• 将（密钥+播放地址+timestamp）拼接完成后，加密为32位小写的md5码。

  假设key=111， domain = play.domain.com， app=live， stream=123, timestamp=1680709499，md5加密后的secret为：md5(111/domain.com/live/1680709499)=秘钥

中心鉴权介绍

中心鉴权是指鉴权由用户测规定，用户请求到nginx后，nginx会发送一个请求到鉴权服务器，由鉴权服务器返回的状态码来判断这个请求鉴权是否通过。

​ 中心鉴权没有规范可言，基本都是定制化。

功能实现

通过lua实现的逻辑如下:

1. 修改nginx.conf 主配置文件，增加rewrite_by_lua_file ，指定改写脚本

http {
  access_by_lua_file lua/access/auth.lua;
}

2. 编写处理逻辑

local cjson = require "cjson"
local ssl = require "ngx.ssl"
local http = require('resty.http')

local globalconfiguration = require "configuration"
local tool = require "tool"
local dy_conf = ngx.shared.conf

local function isintable(value,tb)
    for k,v in pairs(tb) do
        if v == value then
            return true
        end
    end
    return false    --重点：全部跑完以后，如果非true，则返回false
end

--远程鉴权使用函数，不使用
local function center_auth()
    --获取鉴权地址
    local auth_server = globalconfiguration.chinaunicom_center_auth	--从配置文件中读取远程鉴权接口
    --获取客户端IP
    local remore_addr = ngx.var.remote_addr
    -- 获取uri
    local uri = ngx.var.uri
    -- 获取域名
    local headers = ngx.req.get_headers()
    local host = headers["Host"]
    --获取对应的id
    local auth_field = "uid"
    local args = ngx.req.get_uri_args()
    local uid = args[auth_field]
    if not uid then
        ngx.log(ngx.ERR, "client not take cneter auth  field: ".. auth_field)
        ngx.exit(403)
    end


    ngx.log(ngx.INFO, "[debug]auth_serverL: " .. auth_server, "; remore_addr: "..remore_addr .. "; uri:".. uri, ";Host: " .. host)
    local httpc = http.new()
    local url = "http://" .. auth_server.. "/kuanshijie/center_auth?uid=".. uid .."&client_ip="..remore_addr.."&client_uri=" .. uri .. "&client_host=" .. host
    ngx.log(ngx.ERR, "uri: ".. url)
    httpc:set_timeout(500)
    local res, err = httpc:request_uri(url, {
        keepalive_timeout = 500 -- 毫秒
    })
    ngx.log(ngx.INFO, "center auth status : ".. res.status)
  	if not res then		--超时放行
    	  return 
    end
    if  res.status == 403 then
        ngx.log(ngx.ERR, "center auth response 403")
        ngx.exit(403)
    end
end
--请求接口

local function lss_auth(host,time_key)
    --获取参数
    local args = ngx.req.get_uri_args()
    local client_host = args["client_host"]
    --local client_uri = ngx.var.uri
    local uri = ngx.var.request_uri
    local client_uri = tool.split(uri,"?")[1]
    local timestamp = args["timestamp"]
    if timestamp == nil then
        ngx.log(ngx.ERR, "ERROR timestamp is nil")
        ngx.exit(403)
    end
    local md5 = args["secret"]
    local timestamp_key = time_key
    local now = ngx.time()
    ngx.log(ngx.ERR, "[debug]now: ".. now .."; timestamp: ".. timestamp)
    if now > tonumber(timestamp) then
        ngx.log(ngx.ERR, "ERROR req is expired! host: ", host, " uri: ", uri)
        ngx.exit(403)
    end
    local idx = string.find(client_uri, ".m3u8")
    local uri_tmp = string.sub(client_uri, 1, idx - 1)
    local str = string.format("%s/%s%s%s", timestamp_key, host, uri_tmp, timestamp)
    local val = ngx.md5(str)
    if val ~= md5 then
        ngx.log(ngx.ERR, "ERROR req md5 is error! secret: ", md5, " val: ", val, " str: ", str)
        ngx.exit(403)
    end
    ngx.log(ngx.INFO, "DEBUG timestamp auth success! val: ", val, " timestamp: ", timestamp)

end


local function process()
    local host = ssl.server_name()
    local str = dy_conf:get(host)	--从共享内存中读取域名配置
    local conf = cjson.decode(str)
    local auth = conf["conf"]["m3u8_auth_list"]	--判断域名配置项
    if auth then
        -- 判断是否存在kuanshijie_center_auth
        if isintable("center_auth",auth) then
            --center_auth()
        end
        if isintable("lss_auth", auth) then
            local time_key = conf["conf"]["cucc_anti_md5"]	--读取key
            ngx.log(ngx.ERR, "[debug] is match lss_auth")
           lss_auth(host,time_key)
        end
    end
end
process()

以上代码块有编写时间戳鉴权和中心鉴权两个功能，案例只使用了时间戳鉴权。