為保證直播服務配置、直播內容生產、推送和播放全過程的安全性，ApsaraVideo for Live提供了完善的Alibaba Content Security Service保護機制，用於保障直播內容不被盜鏈、非法下載和傳播。本文介紹直播安全保護措施。
直播安全簡介
下圖展示了ApsaraVideo for Live的安全手段。
ApsaraVideo for Live提供如下安全機制：
安全機制 | 安全手段 | 特點 | 安全等級 | 使用門檻 |
RAM使用者 | 根據授權策略授予許可權。 | 較低 | 低，僅需雲端配置 | |
HTTPS安全加速 | HTTPS協議是以安全為目標的HTTP通道，將HTTP用SSL/TLS協議進行封裝。 | 高 | 低，僅需雲端配置 | |
Referer防盜鏈 | 基於HTTP Header跟蹤來源，但極易偽造。 | 低 | 低，僅需雲端配置 | |
IP黑白名單 | 拒絕或只允許特定IP訪問，不適合大量C端使用者的分發。 | 較低 | 低，僅需雲端配置 | |
推流和播放的URL鑒權 | 支援自訂的鑒權Key和鑒權失效時間，動態產生鑒權URL。 | 中 | 較低，提供產生鑒權指令碼 | |
透傳業務請求資訊給客戶自訂鑒權中心來判斷合法性 | 客戶添加自訂的業務請求資訊，通過自建鑒權中心，更加精準識別合法請求。 | 高 | 較高，需部署鑒權中心，並確保高可用 | |
阿里雲視頻加密 | 雲端一體的視頻加密解決方案，採用私人密碼編譯演算法確保視頻流安全。 | 高 | 較低，簡單配置並整合阿里雲播放器即可 | |
DRM加密 | 支援蘋果Fairplay和GoogleWidevine，安全層級很高，滿足大的著作權內容供應商的要求。 | 高 | 較高，按調用license次數進行收費，只需整合阿里雲播放器SDK | |
智能審核 | 自動檢測視頻和音頻內容是否涉嫌違規。 | 高 | 低，僅需雲端配置 | |
禁推流 | 支援直播流進行禁止推流的處理，可自訂禁推時間。 | 高 | 低，僅需雲端配置 |
帳號授權
背景：由於阿里雲帳號AK有完全的許可權，一旦泄露風險巨大。
介紹：ApsaraVideo for Live會對每次操作請求的使用者身份進行驗證，通過AccessKey驗證帳號許可權。ApsaraVideo for Live支援系統授權策略和自訂授權策略。更多資訊，請參見許可權管理。
安全加速
背景：HTTP協議以明文方式發送內容，不提供任何資料加密方式。
介紹：安全超文字傳輸通訊協定 (HTTPS)（HTTPS）是以安全為目標的HTTP通道。HTTPS是HTTP的安全版，使用SSL/TLS協議進行封裝，提供安全保障。更多資訊，請參見安全加速。
存取控制
在雲端配置ApsaraVideo for Live的存取原則，可以達到基本保護。
主要手段有：
Referer防盜鏈
基於HTTP協議支援的Referer機制，通過Referer跟蹤來源。可配置拒絕訪問的Referer黑名單，或僅允許訪問的白名單。
IP黑白名單
您可以通過配置IP黑白名單來實現對訪客身份的識別和過濾，從而限制訪問ApsaraVideo for Live資源的使用者，提升Live的安全性。
更多資訊，請參見存取控制。
推流播流URL鑒權
背景：固定不變的播放地址會導致視頻內容被持久的非法擴散傳播，且無法有效遏制。
介紹：URL鑒權通過產生動態加密URL（包含許可權驗證、到期時效等資訊）來區分合法請求，以達到保護視頻資源的目的。
開啟URL鑒權後：
直播推流URL和直播播流URL都會進行鑒權。
ApsaraVideo for Live的播放器SDK、擷取播放地址的API/SDK都會自動產生帶時效的播放URL。如需要自己產生鑒權的動態URL，則可參見推/播流地址鑒權中的鑒權方法。
更多資訊，請參見推/播流地址鑒權。
業務方遠程鑒權
背景：目前播放中心鑒權對盜鏈等非法請求判斷較為單一，業務方遠程鑒權可以引入客戶業務請求的問題，鑒權更加精準。
介紹：業務方遠程鑒權是指直播CDN將使用者請求透傳到客戶鑒權中心，由客戶判定請求是否合法，CDN根據結果執行相應動作：允許或拒絕訪問。
客戶需開發和部署鑒權中心，若鑒權中心網域名稱在CDN上加速，可緩衝鑒權結果以減輕壓力。
直播CDN預設透傳使用者請求的headers和request_uri到客戶鑒權中心，並根據返回結果執行相應動作。
業務方可將使用者的登入Cookie或UUID等資訊隱藏於播放請求中，透傳到鑒權中心以判定是否合法使用者。
遠程鑒權使用門檻較高，需客戶開發和部署鑒權中心。如需開通和配置，請提交工單聯絡阿里雲支援人員。關於如何提交工單，請參見聯絡我們。
視頻安全
背景：防盜鏈安全機制能有效保障使用者的合法訪問，但對於付費觀看直播的情境，使用者只需通過一次付費行為便可獲得視頻合法的防盜鏈播放URL，將視頻下載到本地，進而實現二次分發。因此，防盜鏈方案對於視頻著作權保護是遠遠不夠的。視頻檔案一旦泄露，會給付費觀看模式造成嚴重的經濟損失。
介紹：阿里雲視頻加密通過對視頻資料加密，即使下載到本地，視頻仍被加密，無法二次分發，有效防止視頻泄露和盜鏈。
阿里雲視頻加密
阿里雲視頻加密採用私人的密碼編譯演算法和安全傳輸機制，提供雲端一體的視頻安全方案，核心部分包括加密轉碼和解密播放。
核心優勢：
每個媒體檔案擁有獨立的加密鑰匙，避免單一密鑰泄露引起的安全問題。
提供信封加密機制，密文Key入庫，明文Key不落儲存，所有過程在記憶體中，用完即銷毀。
提供安全的播放器核心SDK，涵蓋iOS、Android、H5、Flash等多平台，自動解密播放。
播放器和雲端使用私人加密協議進行密文傳輸，不傳輸明文Key，防止密鑰被竊取。
提供安全下載，緩衝到本地的視頻會再次加密，確保無網離線播放，防止視頻被拷貝竊取。
重要阿里雲視頻加密使用限制如下：
僅支援輸出HLS格式。
只能使用阿里雲播放器。
暫不支援網頁端播放。
更多資訊，請參見阿里雲視頻加密。
DRM加密
高端的直播節目，需要滿足內容著作權和供應商的安全要求，如體育賽事、演唱會等。阿里視頻雲推出的雲端DRM解決方案，支援Fairplay和Widevine加密，提供了一站式的視頻加密、license下發、播放等能力。
更多資訊，請參見DRM加密。
視頻加密方案各有優劣。一般來說，越是標準、通用，靈活性越高，但安全性越低。您需要根據業務情境，有所取捨，選擇適合的方案。
Alibaba Content Security Service
背景：直播流由主播生產並通過平台推送給觀眾，未經審核的內容可能傳播有害資訊，存在違規風險。
介紹：阿里雲ApsaraVideo for Live基於視頻AI，提供智能審核功能，可使用視訊、音頻、圖片等媒體審核，並可禁止推送違規直播流。
智能審核：基于海量標註資料和深度學習演算法，從語音、視覺等多維度精準識別視頻、封面、標題等媒體中的違禁內容。
禁推直播流：針對不合規或需封鎖的推流內容，ApsaraVideo for Live提供直播流管理入口，支援永久和限時禁推。
更多資訊，請參見Alibaba Content Security Service。