使用Azure Storage的CORS配置能否阻止视频文件非法下载？

结论 #

仅靠Azure Storage的CORS配置完全无法实现阻止视频文件被非法下载的需求，也不能拦截非特定主机来源的直接访问请求。

核心原因：CORS的机制局限性 #

CORS是浏览器端的安全限制规则，而非存储服务端的访问拦截逻辑：

• CORS只会限制浏览器端跨域请求的响应结果是否能被前端JS读取，不会拦截请求本身的执行
• 即使你配置了仅允许自有业务域名的CORS规则，用户仍可以直接将从控制台拿到的SAS链接粘贴到地址栏访问、或用curl/Postman等非浏览器工具发起请求，这类请求完全不受CORS规则约束，依然可以正常下载文件
• CORS规则也无法阻止用户从浏览器开发者控制台的网络请求列表里直接提取视频直链

CORS可以实现的效果 #

你可以配置Azure Storage的CORS规则，仅开放你自有业务域名作为允许的Origin，这样可以避免其他第三方网站直接在他们的前端页面中通过JS嵌入、调用你的视频资源做公开盗链，仅能降低这类非针对性的盗用风险。

缓解非法下载的可行方案 #

如果你要降低SAS链接被非法传播下载的风险，可以采用以下组合方案：

• 生成SAS令牌时设置极短的有效期：根据视频时长将有效期控制在数分钟级别，用户即使拿到链接，短时间后就会失效无法使用
• 为SAS绑定访问者的公网IP：生成SAS时指定signedIp参数，只有对应IP的用户才能使用该SAS令牌，即使链接被传播，其他IP的用户也无法访问
• 接入Azure CDN并配置Referer防盗链规则：可拦截大部分伪造度低的非指定来源请求，进一步提升盗用门槛
• 高价值视频建议搭配DRM加密：这是从根本上避免被盗用的方案，即使视频文件被下载，没有授权解密密钥也无法正常播放

内容的提问来源于stack exchange，提问作者Illep