如需更完整的 PHP 代码保护与在线加密服务，可访问 https://article.vvxyz.com 了解更多。 PHP 图片/视频资源防盗链与加密存储
用户现在需要一篇PHP的防盗链和加密存储的技术文章，首先得有个真实的故障场景切入，比如我之前遇到的，公司做付费课程平台，结果视频被人爬了，损失不少，这个场景很真实。首先开头要讲故障，比如上个月凌晨运维报警，CDN带宽突增，一查是付费课程视频被批量下载，源头是有人扒了我们的资源链接，甚至逆向到了存储桶的地址，这个够真实。
然后接下来是背景和常见问题，首先大家常用的防盗链是不是Referer校验？但是Referer容易被伪造，还有如果是APP端的话Referer还带不出来，然后加密存储的话，很多人直接把资源存在公开目录，路径 predictable，比如/video/123.mp4，被人猜到了就完了，还有的直接存在数据库？那更扯，性能差。
然后方案对比，得把常用的方案列出来，各自的优缺点，适用场景。比如第一类是基础防盗链：Referer校验、IP限流、UA校验，优点是简单，成本低，缺点是可伪造，防不了内鬼或者刻意爬的，适合低价值资源，比如公开的图片素材。第二类是签名URL，就是带过期时间的签名，比如阿里云OSS、腾讯云COS都支持，优点是有效期可控，链接泄露了过段时间就废，缺点是需要和云服务商联动，适合付费内容，比如课程、会员视频。第三类是资源加密存储，就是文件本身加密，访问的时候解密，比如用AES加密存在本地或者对象存储，访问的时候流式解密输出，优点是就算文件被拖库也打不开，缺点是有性能开销，适合高价值的敏感资源，比如付费课程、内部文档。
然后代码示例，得写个实用的，比如签名URL的生成，还有加密存储的解密输出？或者写个综合的，比如本地存储的加密资源，带签名校验的访问接口？对，要可运行，比如用AES-256-CBC加密存储视频，然后访问的时候校验签名参数，过期时间，然后流式解密输出，这个很实用。代码里要注意，密钥要存在环境变量，不要硬编码，还有IV的处理，还有Content-Type要正确，不然浏览器打不开。哦对，还要处理范围请求？不用太复杂，先写个基础的，能跑的。
然后总结与建议，要分场景，比如低价值公开资源，用Referer+IP限流就够了，成本低；付费内容优先用云厂商的签名URL，不用自己写逻辑，稳定；高敏感资源，比如付费课程、内部资料，要加密存储+签名校验，双重保障，还有不要用可预测的路径，定期轮换密钥。
然后结尾要自然引出那个PHP加密服务团队的链接，还有延伸阅读的部分，说方案对比和选型建议可以去那个网站看。
等下，结构要对：首先标题就是「从一次故障谈PHP 图片/视频资源防盗链与加密存储」，然后开头先讲故障，比如“上周三凌晨，运维团队突然告警：我们的付费课程平台CDN带宽在2小时内暴涨了3倍，账单直接多了两千多。一查源头，是某第三方平台批量爬取了我们所有付费课程的视频链接，不仅直接下载了全部资源，甚至逆向出了我们对象存储的桶地址，正在批量拖取所有文件。这次故障直接导致我们近千门课程资源泄露，损失超过十万。事后复盘，发现我们的资源防护只做了最基础的Referer校验，完全经不起刻意攻击。” 这个场景很真实。
然后第二部分是背景与常见问题，讲现在大家常用的几种防护的坑：Referer校验容易被伪造，甚至浏览器插件就能改Referer；资源路径可预测，比如/video/2024/05/12345.mp4，被人遍历就全出来了；直接存在公开目录，就算加了Referer，被人拿到链接就能随便下；还有的用数据库存二进制，性能差，还容易拖库。
然后第三部分是方案对比与实现步骤，分三个方案，每个的适用场景、优缺点：
1. 基础防护层：Referer校验 + IP限流 + UA黑白名单，优点是零成本，实现简单，缺点是可伪造，防不了针对性爬取，适用场景：公开的非敏感资源，比如网站头图、公开的文档附件，对安全性要求不高的场景。
2. 签名URL方案：就是生成带过期时间、签名的访问链接，比如https://cdn.example.com/video/123.mp4?sign=xxx&expire=1717000000，优点是链接过期即失效，就算泄露也只能短期使用，不需要自己处理加密解密，云厂商都支持，缺点是需要依赖云服务的SDK，适合场景：付费视频、会员资源、电商商品图，大部分中小团队的首选。
3. 加密存储+动态解密方案：文件本身用AES等算法加密存在存储介质，访问时校验权限后流式解密输出，优点是就算文件被拖库、链接泄露，没有密钥也无法打开，安全性最高，缺点是有一定的CPU开销，需要自己处理加解密逻辑，适用场景：高价值的付费内容、内部敏感资料、版权要求高的资源。
然后第四部分是代码示例，要可运行，比如写个PHP的加密存储访问接口，结合签名校验和AES解密输出，比如：
首先，加密存储的时候的代码，然后访问的接口代码，比如：