1. 背景：HLS 流媒体与内容保护的挑战
HTTP Live Streaming (HLS) 协议凭借其稳定性和兼容性，已成为视频点播和直播领域的行业标准。其核心机制是将媒体内容切分成独立的 TS (Transport Stream) 文件，并通过一个 M3U8 索引文件（即播放列表）来组织和引导播放器顺序请求。
然而，随着优质视频内容的价值日益凸显，版权保护与访问控制成为了业务成功的关键。HLS 标准内置了AES-128 加密机制，它能对每个 TS 切片进行加密，从而有效防止未经授权的下载和分发。
我们可以通过对比 M3U8 文件直观地理解这一机制：
标准 M3U8 文件
#EXTM3U #EXT-X-VERSION:3 #EXT-X-TARGETDURATION:3 #EXTINF:3, video_segment_01.ts #EXTINF:3, video_segment_02.ts启用 AES-128 加密的 M3U8 文件
#EXTM3U #EXT-X-VERSION:3 #EXT-X-TARGETDURATION:3 #EXT-X-KEY:METHOD=AES-128,URI="https://your-cdn.com/keys/enc.key",IV=... #EXTINF:3, encrypted_segment_01.ts #EXT-X-KEY:METHOD=AES-128,URI="https://your-cdn.com/keys/enc.key",IV=... #EXTINF:3, encrypted_segment_02.ts可以看到，加密后的 M3U8 文件中增加了#EXT-X-KEY标签，它明确指向了用于解密的密钥enc.key的位置。播放器必须先获取此密钥，才能解密并播放视频切片。因此，对密钥的访问控制，等同于对媒体内容的访问控制。
2. 核心挑战：静态 M3U8 vs. 动态用户权限
Amazon Elemental MediaConvert 是一项强大的视频转码服务，可以轻松地将源文件（如 MP4）转码为加密的 HLS 格式。然而，MediaConvert 生成的 M3U8 文件中，密钥的 URL 是静态的、写死的。
这对需要精细化用户权限管理的场景构成了挑战：我们如何确保只有付费用户或特定会员才能获取到解密密钥？传统的做法是在密钥服务器前置一个应用后端，但这增加了架构复杂度和潜在的性能瓶颈。
3. 解决方案：基于 Lambda@Edge 的动态 M3U8 重写
为了解决这一挑战，我们提出一个高效、可扩展的无服务器架构。其核心思想是：利用 CDN 边缘计算能力，在用户请求 M3U8 文件时，动态地将其中的密钥 URL 重写，附加一个有时效性的、代表用户身份的凭证（Token）。
方案架构与工作流
- 用户认证与授权：用户登录应用。业务后端验证其身份和权限（例如，是否为 VIP 用户）。
- 生成带 Token 的 M3U8 URL：后端认证通过后，生成一个有时效性的 Token，并将其作为查询参数（Query String）拼接到 M3U8 文件的 URL 中，然后返回给客户端。
https://cdn.example.com/video/playlist.m3u8?token=USER_SPECIFIC_TOKEN - 边缘重写（核心步骤）：播放器请求上述 URL。CloudFront 在将 M3U8 文件返回给用户之前，触发绑定在“源响应（Origin Response）”事件上的Lambda@Edge函数。该函数会：
- 从请求中提取
token。 - 解析 M3U8 文件内容。
- 将
token附加到#EXT-X-KEY标签的URI属性上。
- 从请求中提取
- 密钥请求与验证：播放器解析被重写后的 M3U8，发现密钥 URL 变成了
https://cdn.example.com/keys/enc.key?token=USER_SPECIFIC_TOKEN。当播放器请求此 URL 时，我们可以在 CloudFront 部署另一个 Lambda@Edge 或 CloudFront Function，用于验证token的有效性，从而决定是否返回密钥。 - 解密与播放：播放器成功获取密钥后，用它来解密 TS 切片并无缝播放视频。
4. 实施步骤详解
步骤一：生成并准备加密密钥
首先，我们需要生成一个 16 字节（128位）的 AES 密钥，并将其上传至 S3，通过 CloudFront 对外提供服务。
# 1. 生成16字节的随机二进制密钥 openssl rand 16 > enc.key # 2. 将密钥转换为16进制字符串，供 MediaConvert 配置使用 xxd -p enc.key # 输出示例: 1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d将enc.key文件上传至 S3，并记录其 CloudFront URL，例如https://d12345.cloudfront.net/enc.key。
步骤二：配置 MediaConvert 转码任务
在 MediaConvert 的转码作业配置中，找到输出组设置，启用加密，并填入上一步获取的信息。
- 加密方法:
AES_128 - 密钥提供类型:
Static Key - 密钥 (16进制): 粘贴上一步中
xxd命令生成的 32 位十六进制字符串。 - 密钥 URL: 填入密钥在 CloudFront 上的 URL。
步骤三：编写并部署 Lambda@Edge 函数
这是实现动态授权的核心。以下 Python 代码示例实现了 M3U8 文件的动态重写。
# Lambda@Edge for M3U8 Rewriting import re def lambda_handler(event, context): request = event['Records'][0]['cf']['request'] response = event['Records'][0]['cf']['response'] # 1. 确保是M3U8文件的响应 content_type = response.get('headers', {}).get('content-type', [{}])[0].get('value', '') if 'application/vnd.apple.mpegurl' not in content_type: return response # 2. 从请求的查询参数中提取token query_string = request.get('querystring', '') token = None if 'token=' in query_string: params = dict(p.split('=') for p in query_string.split('&')) token = params.get('token') if not token: return response # 3. 读取原始M3U8内容并重写 try: original_body = response.get('body') # 使用正则表达式将token附加到所有密钥URI上 def add_token_to_uri(match): uri = match.group(1) separator = '&' if '?' in uri else '?' return f'URI="{uri}{separator}token={token}"' modified_body = re.sub(r'URI="([^"]+)"', add_token_to_uri, original_body) response['body'] = modified_body response['headers']['content-length'] = [{'key': 'Content-Length', 'value': str(len(modified_body))}] return response except Exception as e: # 异常处理，返回原始响应 print(f"Error processing M3U8: {e}") return response将此函数打包并部署到 Lambda，然后在 CloudFront 分发的“源响应”行为中关联此函数。
5. 验证与总结
完成部署后，使用带有token参数的 M3U8 URL 在 Safari 或其他支持 HLS 的播放器中进行测试。通过浏览器的开发者工具，您将观察到播放器请求的密钥 URL 已经成功附加了token。
本文介绍的方案，通过结合 Amazon Elemental MediaConvert 的强大转码能力和 Lambda@Edge 的边缘计算灵活性，构建了一个安全、可扩展且成本优化的媒体内容保护系统。它不仅实现了标准的 HLS 加密，更重要的是解决了动态用户权限校验的难题。对于需要更高级别保护的场景，还可以进一步集成更复杂的 DRM（数字版权管理）解决方案。
传送门
以上就是本文的全部内容啦。最后提醒一下各位工友，如果后续不再使用相关服务，别忘了在控制台关闭，避免超出免费额度产生费用～
参考资料
- Amazon Elemental MediaConvert 产品介绍
- 通过加密和 DRM 保护您的媒体资产
- 使用 Lambda@Edge 个性化边缘内容
