PHP生成视频播放URL签名需用time()获取时间戳加有效期计算过期值，拼接路径与过期时间后通过hash_hmac('sha256', $data, $secret_key)生成签名，并将t和sign作为查询参数输出；验证时须检查t是否存在且为整数、未过期，并用hash_equals()比对重算签名，路径需规范化且与Nginx转发路径严格一致。
视频播放链接带有时效签名，PHP如何生成有效签名
核心是用服务端时间戳 + 密钥生成不可预测的哈希值，客户端拿到的 play_url 必须包含该签名和过期时间。不能依赖前端传来的 timestamp 或 signature，全部由 PHP 后端生成。
- 使用
time()获取当前 Unix 时间戳，加上有效期（如 300 秒），得到$expire - 拼接路径、密钥、过期时间，用
hash_hmac('sha256', $data, $secret_key)生成签名 - 签名和过期时间需作为 URL 查询参数透出，例如：
?t=1718923456&sign=abc123... - 密钥
$secret_key必须存于环境变量或配置文件，禁止硬编码在代码里
function generateVideoPlayUrl($video_path, $secret_key, $expire_seconds = 300) {
$expire = time() + $expire_seconds;
$data = $video_path . $expire;
$sign = hash_hmac('sha256', $data, $secret_key);
return sprintf('%s?t=%d&sign=%s', $video_path, $expire, $sign);
}
PHP验证播放请求时如何防止重放和篡改
收到播放请求（如 Nginx 的 ngx_http_secure_link_module 回调，或自建鉴权中间件）时，必须严格校验：时间未过期、签名匹配、路径未被修改。常见错误是只校验 sign，忽略 t 参数是否合法或是否为整数。
- 先检查
$_GET['t']是否存在且为整数，否则直接 403 - 拒绝
$_GET['t'] 的请求（注意时区一致，全用 UTC 或全用服务器本地时间） - 重新拼接原始数据（路径 +
t值），用相同密钥和算法再算一次hash_hmac，与传入sign严格比对（用hash_equals()防时序攻击） - 路径部分要规范化：去除
..、解码 URL 编码、限制前缀（如只允许/videos/下的资源）
function validateVideoRequest($request_path, $secret_key) {
if (!isset($_GET['t']) || !is_numeric($_GET['t'])) {
return false;
}
$expire = (int)$_GET['t'];
if ($expire < time()) {
return false;
}
$data = $request_path . $expire;
$expected_sign = hash_hmac('sha256', $data, $secret_key);
return hash_equals($expected_sign, $_GET['sign'] ?? '');
}
Nginx + PHP 协同鉴权时，URL 中的 path 怎么对齐
这是最常踩坑的地方：PHP 生成签名时用的路径，和 Nginx 实际转发给后端或校验模块的路径，必须完全一致。比如 PHP 签了 /videos/123.mp4，但 Nginx rewrite 成 /api/video-proxy/123.mp4，签名就必然失败。
- 推荐做法：PHP 签名时使用「逻辑路径」（如
/v/123.mp4），Nginx 的secure_link或auth_request指向同一逻辑路径，不重写原始路径 - 若必须 rewrite，应在 rewrite 前完成鉴权（用
auth_request子请求到 PHP 接口），而不是让secure_link去校验一个被改过的路径 - 调试时打印
$_SERVER['REQUEST_URI']和你用于签名的路径，逐字符比对，特别注意开头斜杠、结尾扩展名、大小写
前端播放器报 403 但日志没记录？检查 PHP 输出和 Nginx 配置顺序
权限过期问题常表现为前端黑屏/报错，但 PHP 日志空空如也——大概率是请求根本没进 PHP，被 Nginx 层拦截了。比如用了 secure_link 但签名格式不对，Nginx 直接返回 403，PHP 压根不知道发生了什么。
立即学习“PHP免费学习笔记（深入）”；
实际部署时，过期时间不宜设太长（超过 1 小时会显著增加盗链风险），也不宜太短（低于 60 秒可能导致播放中途断流）。签名密钥轮换、路径白名单、Referer 二次校验，这些属于增强项，基础链路跑通后再加。
