访问控制

访问控制用于根据客户端 IP 地址、HTTP Referer、HTTP User-Agent、URL 签名或鉴权服务器返回结果限制直播流访问。对于按规则配置的功能，可通过目录、文件类型或 URL 正则设置生效范围，并通过优先级控制规则的匹配顺序。

可用功能取决于域名角色和接入方式。推流域名提供 IP 黑白名单、时间戳防盗链和回源鉴权防盗链；Referer 和 UA 访问控制适用于分发域名。主要功能如下：

功能	过滤维度
IP 黑白名单	客户端 IP 地址或 CIDR 段
Referer防盗链	HTTP Referer 请求头
UA头黑白名单	HTTP User-Agent 请求头
时间戳防盗链	URL 中的签名令牌和时间戳
回源鉴权防盗链	鉴权服务器返回结果

说明：使用 Referer防盗链或 UA头黑白名单时，建议关闭 RTMP 分发协议。RTMP 不支持这两类基于 HTTP 请求头的访问控制。

开始之前

• 使用时间戳防盗链前，请准备签名密钥、URL 参数名称、时间戳格式及签名拼接顺序。
• 使用回源鉴权防盗链前，请准备鉴权接口地址、响应匹配条件、超时策略及需要转发的请求参数。

进入访问控制页面

1. 进入互动直播 > 自助配置。
2. 找到需要配置的域名，选择配置修改。
3. 在配置菜单中选择访问控制。

配置 IP 黑白名单

IP 黑白名单根据客户端 IP 地址允许或禁止访问。可使用 CIDR 格式指定 IP 地址段。

1. 在访问控制页面，在 IP 黑白名单旁选择 添加。
2. 在 IP 黑白名单弹窗中，从生效范围下拉菜单选择范围类型。

选项	生效对象	输入格式
指定目录	指定路径下的文件	路径以 / 开头和结尾，多个路径换行分隔。例如：/live/
指定文件类型	指定后缀名的文件	后缀名不含点，多个用英文分号（;）分隔。例如：flv;m3u8;ts
URL正则匹配	匹配正则表达式的 URL	输入 URL 路径正则。例如：live/.*\.(m3u8\|flv)($\|.*)

3. 输入对应的生效范围内容。
4. 在规则类型下，选择黑名单或白名单。

注意：只支持配置一条白名单规则。如需添加多个白名单条目，请将所有条目写入同一条白名单规则。

5. 在 IP/IP 段黑名单或 IP/IP 段白名单中输入 IP 地址或 CIDR 段，多个用英文分号（;）分隔。字段最多支持 65,535 个字符，约 3,000 个 IP。也可以通过 TXT 文件导入 IP 条目。
6. 在优先级中输入整数。数值越大，规则越先执行。默认值为 10。
7. 选择确认。

配置 Referer防盗链

Referer防盗链按 HTTP Referer 请求头允许或禁止访问，可用于限制哪些网站能够嵌入或链接您的直播流。

1. 在访问控制页面，在 Referer防盗链旁选择 添加。
2. 从生效范围下拉菜单选择范围类型，并输入生效范围内容。
3. 在规则类型下，选择黑名单或白名单。

注意：只支持配置一条白名单规则。如需添加多个白名单条目，请将所有条目写入同一条白名单规则。

4. 设置切换正则配置：

   • 关闭时，输入域名或完整 URL。
   • 开启时，使用正则表达式匹配 Referer 值。

5. 根据上述设置填写 Referer 内容。

域名和完整 URL

字段	输入格式	示例
**referer黑名单（域名）**或 referer白名单（域名）	不含 http:// 或 https:// 的域名，多个换行分隔	www.example.com
**referer黑名单（URL）**或 referer白名单（URL）	以 http:// 或 https:// 开头的完整 URL，多个换行分隔	https://www.example.com/player

正则表达式

每行输入一个正则表达式，例如 ^https?://www\.example\.com/.*。

6. 设置允许空 Referer 访问。开启后，无 Referer 请求头的访问将被允许。
7. 在优先级中输入整数。默认值为 10。
8. 选择确认。

配置 UA头黑白名单

UA头黑白名单按 HTTP User-Agent 请求头允许或禁止访问。

1. 在访问控制页面，在 UA头黑白名单旁选择 添加。
2. 从生效范围下拉菜单选择范围类型，并输入生效范围内容。
3. 在规则类型下，选择黑名单或白名单。

注意：只支持配置一条白名单规则。如需添加多个白名单条目，请将所有条目写入同一条白名单规则。

4. 在 User-Agent 黑名单或 User-Agent 白名单中输入 User-Agent 值，多个换行分隔。
5. 在优先级中输入整数。默认值为 10。
6. 选择确认。

配置时间戳防盗链

时间戳防盗链通过验证请求 URL 中的签名和时间戳决定是否允许访问。生成签名 URL 时，使用的参数名称、密钥、时间戳格式和拼接顺序须与此处配置一致。

1. 在访问控制页面，在时间戳防盗链旁选择 添加。
2. 从生效范围下拉菜单选择范围类型，并输入生效范围内容。
3. 配置令牌参数。

字段	是否必填	默认值	说明
签名参数名称	否	token	URL 查询参数中承载签名的参数名称。
时间戳参数名称	否	time	URL 查询参数中承载时间戳的参数名称。
签名密钥	是	—	签名密钥。多个密钥用英文分号（;）分隔。
时间戳格式	是	Unix 时间戳	时间戳格式，选项包括 Unix 时间戳和 16 进制。
令牌有效期	是	—	令牌有效时长，单位为秒。最大值：31536000。
签名拼接顺序	是	KEY+路径+时间	生成签名前，密钥、URI 路径和时间戳的拼接顺序。

4. 在签名拼接顺序中，选择与请求 URL 的签名逻辑一致的拼接顺序。

选项	拼接顺序
KEY+路径+时间	密钥 → URI 路径 → 时间戳
KEY+时间+路径	密钥 → 时间戳 → URI 路径
路径+KEY+时间	URI 路径 → 密钥 → 时间戳
路径+时间+KEY	URI 路径 → 时间戳 → 密钥
时间+路径+KEY	时间戳 → URI 路径 → 密钥
时间+KEY+路径	时间戳 → 密钥 → URI 路径

5. 选择确认。

配置回源鉴权防盗链

回源鉴权防盗链可用于推流和分发请求鉴权。CDN 将请求参数发送至您的鉴权服务器，并根据返回结果决定是否允许访问。

说明：回源鉴权防盗链不适用于 HLS 回源拉流域名。

1. 在访问控制页面，在回源鉴权防盗链旁选择修改。
2. 在回源鉴权防盗链弹窗中，将回源鉴权设置为开启。
3. 在请求方法下，选择 GET 或 POST。
4. 在鉴权服务器 URL中输入完整鉴权接口 URL，包括协议、域名、路径、需要的端口及固定查询参数。例如：https://auth.example.com/api/check?service=live。
5. 可选：在鉴权请求 Host中输入 Host 请求头覆盖值，用于指定发往鉴权服务器的 Host 请求头。
6. 在查询参数转发下，选择原始 URL 参数的转发方式。

选项	行为
转发全部	转发原始请求 URL 中的所有查询参数。
不转发	不转发原始请求 URL 中的查询参数。
仅转发指定	仅转发指定的查询参数。

7. 在鉴权请求参数下，选择点击配置，勾选需要发送给鉴权服务器的参数，并根据鉴权接口要求自定义参数名称。

参数名称	默认参数 key	说明
客户端 IP	ip	请求客户端 IP 地址。
流名	streamName	直播流名称。
推拉流类型	type	流请求类型。
Host	host	原始请求主机名。
CDN 边缘节点 IP	cdnip	CDN 节点 IP 地址。
发布点	appName	流 URL 中的应用名称。
CDN 服务器 IP	serverIp	CDN 服务器 IP 地址。
请求URL	url	原始请求 URL。
请求Referer	referer	原始请求 Referer 请求头。

8. 在鉴权结果判定条件下，选择成功或失败，然后配置返回匹配条件：
   • 返回状态码：鉴权服务器返回的 HTTP 状态码，多个用英文分号（;）分隔。
   • 返回内容：鉴权服务器返回的响应体内容。
9. 在鉴权超时时间中输入 1 到 10 之间的整数，单位为秒。默认值为 5。
10. 在鉴权重试次数中输入 0 到 5 之间的整数。默认值为 0。
11. 在鉴权超时处理下，选择鉴权服务器超时未响应时的处理动作：
    • 允许访问：鉴权超时时允许请求通过。
    • 拒绝访问：鉴权超时时拒绝该请求。
12. 选择确认。

保存并提交配置

确认规则或调整开关后，请检查配置。保存草稿用于保存当前草稿；如需继续检查并提交配置，选择下一步并按页面提示操作。测试前，请检查域名配置状态，确认变更已生效。

参考

协议支持

回源鉴权防盗链还受域名类型限制，详见上文说明。

功能	HLS	DASH	HTTP-FLV	WebRTC	RTMP
IP 黑白名单	✓	✓	✓	✓	✓
Referer防盗链	✓	✓	✓	✓	✗
UA头黑白名单	✓	✓	✓	✓	✗
时间戳防盗链	✓	✓	✓	✓	✓
回源鉴权防盗链	✓	✓	✓	✓	✓