如何让.mp4文件仅对Joomla登录用户可见且禁止公开访问？

以下是几个可行的方案，既能阻止未登录用户直接访问视频直链，又能让已登录用户正常观看：

方案1：通过PHP代理脚本做权限校验 #

将视频文件放在网站根目录以外的位置（比如/home/your-user/private-videos/），避免外部直接通过URL访问。再创建一个兼容Joomla的代理脚本，校验用户登录状态后输出视频：

1. 在Joomla根目录创建video-proxy.php文件，内容如下：

<?php
// 确保处于Joomla环境
defined('_JEXEC') or die('Restricted access');

// 获取当前用户
$user = JFactory::getUser();
// 未登录则返回403
if ($user->guest) {
    header('HTTP/1.1 403 Forbidden');
    exit('您需要登录才能观看视频');
}

// 安全映射视频ID到真实路径（防止目录遍历攻击）
$videoMap = [
    'video1' => '/home/your-user/private-videos/video1.mp4',
    'video2' => '/home/your-user/private-videos/video2.mp4'
];

$videoId = isset($_GET['id']) ? $_GET['id'] : '';
if (!isset($videoMap[$videoId]) || !file_exists($videoMap[$videoId])) {
    header('HTTP/1.1 404 Not Found');
    exit('视频不存在');
}

$videoPath = $videoMap[$videoId];

// 处理断点续传（优化大视频播放体验）
$fileSize = filesize($videoPath);
$range = isset($_SERVER['HTTP_RANGE']) ? $_SERVER['HTTP_RANGE'] : '';

if ($range) {
    list($param, $range) = explode('=', $range);
    list($start, $end) = explode('-', $range);
    $start = intval($start);
    $end = $end ? intval($end) : $fileSize - 1;
    $length = $end - $start + 1;
    $fp = fopen($videoPath, 'rb');
    fseek($fp, $start);
    header('HTTP/1.1 206 Partial Content');
    header('Content-Length: ' . $length);
    header('Content-Range: bytes ' . $start . '-' . $end . '/' . $fileSize);
} else {
    $length = $fileSize;
    $fp = fopen($videoPath, 'rb');
    header('Content-Length: ' . $length);
}

// 设置视频MIME类型
header('Content-Type: video/mp4');
header('Accept-Ranges: bytes');
header('Cache-Control: no-cache');

// 输出视频内容
fpassthru($fp);
fclose($fp);
exit;

2. 在Yendif播放器中，将视频地址设置为video-proxy.php?id=video1（对应$videoMap中的键），而非直接的.mp4路径。

3. 设置视频文件权限为Web服务器用户可读（比如执行chown www-data:www-data /home/your-user/private-videos/*.mp4，权限设为640）。

方案2：利用Yendif播放器内置防盗链功能 #

检查Yendif播放器的设置面板，通常会有防止直接链接或签名URL相关选项：

• 启用该功能后，播放器会生成带签名参数的临时播放链接，只有通过播放器发起的请求才会被验证通过，直接访问原始.mp4直链会被拒绝。
• 不同版本的Yendif选项名称可能略有差异，可在“高级设置”或“防盗链”分类下查找。

方案3：通过.htaccess结合Joomla Session控制访问 #

如果视频必须放在网站根目录内，可修改.htaccess文件，只允许携带有效Joomla会话Cookie的请求访问.mp4文件：

RewriteEngine On

# 拒绝所有未携带Joomla会话Cookie的.mp4请求
RewriteCond %{HTTP_COOKIE} !JoomlaSessionID=[^;]+ [NC]
RewriteRule ^(.*)\.mp4$ - [L,R=403]

注意：JoomlaSessionID需要替换为你站点实际的Joomla会话Cookie名称（可在浏览器开发者工具的Cookie面板中查看）。此方案安全性略低于PHP代理，但能满足普通场景需求。

注意事项 #

• 所有方案需测试：未登录用户访问直链应返回403，已登录用户通过播放器可正常播放。
• 若使用PHP代理，确保服务器允许读取根目录外的文件，同时脚本已处理大视频的断点续传逻辑。

内容的提问来源于stack exchange，提问作者Cristian