使用hls.js播放器，如何为HLS AES-128密钥URI添加授权头及保护？

以下是我的HLS播放列表内容：

#EXTM3U
#EXT-X-VERSION:3
#EXT-X-TARGETDURATION:18
#EXT-X-MEDIA-SEQUENCE:0
#EXT-X-PLAYLIST-TYPE:VOD
#EXT-X-KEY:METHOD=AES-128,URI=https://xxx//xxxxx.com/api/xxx/xxxxx/xxxxxxxxxxxx/live?signkey=xxxxxxxxx,IV=0x00000000000000000000000000000000
#EXTINF:10.000000,
chunk-0.ts
#EXTINF:9.120000,
chunk-1.ts
#EXTINF:13.000000,
chunk-2.ts
#EXTINF:4.960000,
chunk-3.ts
#EXTINF:8.880000,
chunk-4.ts

问题：其中密钥URI是我的API接口地址，将从该接口获取密钥。请问使用hls.js播放器时，如何在请求密钥URI时传递授权头？或者有没有其他方式可以保护该密钥URI？

一、给hls.js的密钥请求添加授权头 #

hls.js有两种实用方式可以给密钥请求加上授权头：

1. 全局配置统一设置 #

初始化hls实例时，通过fetchSetup配置项给所有请求（包括密钥、m3u8、ts切片）统一添加请求头，密钥请求会自动继承这个配置：

const hls = new Hls({
  fetchSetup: {
    headers: {
      'Authorization': 'Bearer your-auth-token', // 替换成实际的授权令牌
      'X-Custom-Auth': 'your-custom-value' // 可添加其他自定义授权头
    }
  }
});

2. 单独处理密钥请求 #

如果只想给密钥请求加特定头，不影响其他请求，可以监听KEY_LOADING事件，修改密钥请求的参数：

const hls = new Hls();

hls.on(Hls.Events.KEY_LOADING, (event, data) => {
  // 给当前密钥请求追加授权头
  data.headers = {
    ...data.headers,
    'Authorization': 'Bearer your-auth-token'
  };
});

二、密钥URI的其他保护方案 #

除了添加授权头，还可以通过这些方式提升密钥接口的安全性：

• 短时效签名：你当前URI里的signkey可以设置成短有效期（比如5-10分钟），签名生成时结合请求IP、时间戳等唯一参数，防止签名被非法复用。
• 后端代理转发：不在m3u8里暴露真实的密钥API地址，改用后端代理地址（比如/api/proxy-key）。后端收到请求后，携带内部授权信息去真实密钥接口获取密钥，再返回给播放器，避免直接暴露敏感接口。
• IP白名单限制：在密钥API的服务器层面设置IP白名单，只允许合法的客户端IP或服务器IP段访问，拦截非法来源的请求。
• 会话绑定验证：要求密钥请求携带客户端的有效会话标识（比如Cookie中的sessionId），后端验证会话的合法性和有效性后，才返回密钥，防止未授权客户端获取密钥。

内容的提问来源于stack exchange，提问作者Danh Pham