ApsaraVideo for VOD提供了憑證和STS兩種用戶端授權方案，保障上傳與播放安全，防止資料泄露。本文對比兩種方案，協助根據業務需求選擇合適方案。
憑證方式：憑證方式是ApsaraVideo for VOD提供的專用授權方案，整合服務端授權邏輯，通過簡單API產生單次上傳/播放臨時憑證。深度整合SDK，開箱即用，簡化用戶端開發成本。包含了上傳憑證和播放憑證。
STS方式：STS（Security Token Service）是阿里雲通用臨時授權方案。通過STS服務頒發自訂時效和許可權的臨時身份，支援訪問點播及其他雲端服務，適用於複雜業務情境和精微調權限管理，詳情請參見擷取STS Token。
方案對比
憑證方式是ApsaraVideo for VOD推薦使用的上傳、播放授權方式，相比STS方式優勢如下：
對比項 | 核心機制 | 實現流程 | 安全性 | 靈活性 | 易用性 |
憑證方式 | 由VOD服務端API（如CreateUploadVideo）產生一次性時效憑證，內部封裝了臨時授權資訊。 |
| 預設提供單次單對象授權，授權粒度為單視頻維度。 | 支援回調地址、播放網域名稱等參數配置。 | 配置簡便，僅需帳號AccessKey授權點播許可權即可。 |
STS方式 | 調用STS API擷取時效性臨時憑證。 |
| 許可權粒度較粗，在點播上是API維度，允許無限次上傳或播放帳號下所有視頻。 | 需等待SDK版本更新，新增功能會有延遲。 | 配置複雜，角色與授權策略配置較為繁瑣。 |
ApsaraVideo for VOD播放鑒權無需傳入阿里雲帳號密碼。用戶端只需通過播放憑證（GetVideoPlayAuth）或 STS 臨時憑證完成授權。
API 呼叫網域名稱格式為 vod.<RegionId>.aliyuncs.com（如華東 2（上海）為 vod.cn-shanghai.aliyuncs.com），連接埠為 HTTPS 443。
方案選型
情境樣本一：單純點播上傳/播放需求
對於希望快速整合，不關心底層細節的點播專案，推薦使用憑證方式。
選型理由：開箱即用，深度整合官方SDK，服務端輕量化，無需管理複雜的權限原則。
情境樣本二：希望簡化服務端邏輯需求
對於服務端開發投入有限，希望最大程度簡化服務端邏輯的專案，推薦使用憑證方式。
選型理由：ApsaraVideo for VOD服務端已封裝好大部分安全邏輯，開發人員只需調用API產生憑證即可。
常見問題
如何配置更安全的STS授權策略
STS是阿里雲高安全級基礎服務，安全性取決於授權策略（Policy）的嚴謹性，需遵循最小許可權原則。通過精細化配置可提供更強安全保障，詳情請參見擷取STS Token。
憑證的有效期間是多久
上傳憑證的有效期間預設為3000秒，到期後需調用RefreshUploadVideo重新擷取上傳憑證。
播放憑證有效期間可通過GetVideoPlayAuth的
AuthInfoTimeout參數自訂（預設100秒），建議設定較短時間以提升安全性。