如何仅向付费用户开放Cloudflare缓存的S3存储视频资源访问权限

方案1：Cloudflare Workers 身份校验+自定义缓存键 #

• 核心逻辑：所有视频请求先经过Cloudflare边缘节点的Worker做权限校验，校验通过后重写缓存键为仅关联视频资源的固定值，完全避免用户身份信息导致的缓存分片，缓存命中率和无权限校验时完全一致。
• 实现步骤：
  1. 应用后端为付费用户签发有效期和付费权限周期匹配的JWT令牌，写入HttpOnly Cookie或Authorization请求头，JWT仅存储用户ID、权限范围、过期时间三类核心信息。
  2. 配置Cloudflare Worker绑定到视频资源的访问域名/路径，所有视频请求优先进入Worker执行校验逻辑：
     • 提取请求中的JWT，校验签名合法性、有效期、对应视频访问权限，校验不通过直接返回403
     • 校验通过后重写cf.cacheKey，仅保留S3视频对象路径作为缓存键，忽略所有请求头、Cookie中的身份相关字段
     • 回源S3拉取资源，S3侧提前配置访问规则，仅允许Cloudflare官方IP段访问，杜绝绕开Cloudflare直接访问S3的可能
• 优势：边缘校验延迟极低，缓存无额外损耗，成本远低于高频回源S3的流量费用，Cloudflare Workers免费额度可覆盖绝大多数中小规模教育应用的请求量。

方案2：Cloudflare Access 付费用户组校验 #

• 核心逻辑：直接复用Cloudflare原生的访问控制能力，不需要自行开发校验逻辑，通过用户组规则实现付费权限控制，完全不影响原有缓存策略。
• 实现步骤：
  1. 将你的应用用户体系与Cloudflare Access的身份提供商对接，支持OIDC、SAML以及自定义用户数据库同步。
  2. 定时同步全量付费用户到Cloudflare Access的自定义付费用户用户组。
  3. 为视频资源路径配置访问策略：仅允许付费用户组访问，其余请求全部拒绝。
• 适用场景：用户规模不大、不需要自定义复杂权限规则的场景，配置成本极低。

方案3：固定时间窗口全局签名URL #

• 核心逻辑：放弃按用户生成唯一签名URL的逻辑，改为按固定时间窗口生成全局统一的S3签名，所有付费用户在同一时间窗口内共用同一份签名访问资源，避免签名差异化导致的缓存不命中。
• 实现步骤：
  1. 后端按固定周期（比如24小时）生成一次全局S3签名，签名有效期设为48小时，预留24小时过渡窗口避免签名切换时出现访问失效。
  2. 付费用户请求视频地址时，后端统一返回带当前全局签名的URL。
  3. Cloudflare侧配置缓存规则，忽略URL中的签名参数，仅用视频路径作为缓存键。
• 注意事项：必须配合S3的Cloudflare IP白名单规则使用，避免全局签名泄露后被恶意用户绕过Cloudflare直接访问S3。
• 适用场景：不想改动Cloudflare侧复杂配置、改造成本预算有限的场景。

内容的提问来源于stack exchange，提问作者KalVik