CN104811438B - 基于调度系统的异步防盗链方法与系统 - Google Patents

Abstract

本发明提供了一种基于调度系统的异步防盗链方法和系统，包括：客户端向调度鉴权服务器发送获取调度信息和鉴权信息的请求，其中，调度鉴权服务器设置于调度系统中，调度鉴权服务器既能进行资源调度又能进行鉴权；调度鉴权服务器向客户端返回响应，响应包括调度信息和鉴权信息，其中鉴权信息包括唯一标识符；客户端随后向内容分发网络节点发送内容请求，该内容请求包含鉴权信息；内容分发网络节点响应内容请求以提供部分内容资源，并向调度鉴权服务器发送鉴权请求；调度鉴权服务器判断唯一标识符是否已经登记在线，如果该唯一标识符已经登记在线，则指令内容分发网络节点终止提供内容服务；如果该唯一标识符并未登记在线，则将唯一标识符登记在线。

Description

基于调度系统的异步防盗链方法与系统

技术领域

本发明涉及内容分发网络，尤其涉及针对内容分发网络的流媒体防盗链系统和方法。

背景技术

当前的流媒体厂商众多，他们所提供的资源给用户带来了巨大的方便，但这也给盗链者有机可乘。盗链者在自己的网站上放置了其他流媒体厂商的资源，通过非法的链接，盗用厂商服务器上的视频资源，甚至使流媒体厂商的带宽资源耗尽，服务器崩溃。这是一种侵犯流媒体厂商利益和视频版权的行为，需要有一种有效的系统来打击它。

针对内容分发网络(CDN)环境，出现了多种防盗链方案，但这些现有的防盗链方案均存在弊端。

对于采用视频加密方式的防盗链方案，通常会涉及到加密算法。然而，太简单的加密算法无异于没有加密，而太复杂的加密算法会给播放器的解密带来困难，增加开发的难度和播放器对用户的硬件依赖比较高。加密过的文件可能会造成内容分发网络对视频文件的无法识别、解析，导致文件无法拖拉等问题。

对于常见的一些http防盗链(如UA防盗链，referer防盗链)，已经过于简单，盗链者很容易通过构造来越过防御系统。

另外，对于现有的一些防盗链系统都是先判断，后放行，这样如果做判断的服务器响应慢，就会造成用户体验不好。

再者，一般的回源鉴权防盗链系统的ID的生成系统和鉴权系统没有统一起来，没有形成一个闭环的系统，这样会减少鉴权的难度，容易被破解。

因此，亟需一种既能高效打击盗链链接，又不影响用户体的防盗链系统。

发明内容

本发明的目的是提供一种既能高效打击盗链链接，又不影响用户体的防盗链系统。本发明在http协议的基础上，实现了先允许用户访问一小部分资源，然后再判断该访问是否是合法请求，然后再判断是否拒绝请求。在用户请求和服务器之间该系统是透明的，实现合法访问的用户零感知，既兼顾厂商的利益，又兼顾用户体验。

本发明提供了一种基于调度系统的单点访问异步防盗链方法。所述方法包括：

客户端向调度鉴权服务器发送获取调度信息和鉴权信息的请求，其中，所述调度鉴权服务器设置于所述调度系统中，所述调度鉴权服务器既能进行资源调度又能进行鉴权；

所述调度鉴权服务器向所述客户端返回响应，所述响应包括调度信息和鉴权信息，其中所述鉴权信息包括唯一标识符；

所述客户端随后向内容分发网络节点发送内容请求，该内容请求包含鉴权信息；

所述内容分发网络节点在接收到所述内容请求后，响应所述内容请求以向所述客户端提供部分内容资源，并向所述调度鉴权服务器发送包含有所述鉴权信息的鉴权请求；

所述调度鉴权服务器根据所述鉴权请求进行鉴权，所述鉴权包括判断所述唯一标识符是否已经登记在线，如果该唯一标识符已经登记在线，则所述调度鉴权服务器指令所述内容分发网络节点终止提供内容服务；如果该唯一标识符并未登记在线，则将所述唯一标识符登记在线。

在一个实施例中，所述调度鉴权服务器向所述客户端返回唯一标识符时，把所述唯一标识符注册成“存在”状态，用于判断所述客户端发送的内容请求中所包含的唯一标识符是否是所述调度鉴权服务器自己产生的。

在一个实施例中，所述调度鉴权服务器判断所述唯一标识符是否已经登记在线之前，还包括以下步骤：

所述调度鉴权服务器判断所述唯一标识符是否存在，如果不存在，则所述调度鉴权服务器向所述内容分发网络节点下发终止服务；如果存在，则所述调度鉴权服务器判断所述唯一标识符是否已经登记在线。

在一个实施例中，所述鉴权请求的连接保持为长连接，以确保所述调度鉴权服务器所下发的鉴权结果能够针对到所述内容请求所对应的媒体流。

在一个实施例中，所述内容分发网络节点响应所述内容请求以向所述客户端提供部分内容资源之前，还包括以下步骤：

所述内容分发网络节点在接收到所述内容请求后，进行本地防盗链判断，对于未通过本地防盗链判断的内容请求予以过滤。

本发明还提供了一种基于调度系统的异步防盗链系统。该系统包括：

客户端；

调度鉴权服务器，所述调度鉴权服务器位于所述调度系统所述调度鉴权服务器既能进行资源调度又能进行鉴权；

以及内容分发网络节点；

其中：

所述客户端向调度鉴权服务器发送获取调度信息和鉴权信息的请求，所述调度鉴权服务器向所述客户端返回响应，所述响应包括调度信息和鉴权信息，其中所述鉴权信息包括唯一标识符；

所述客户端在获得了所述鉴权信息后，向内容分发网络节点发送内容请求，该内容请求包含鉴权信息；

所述内容分发网络节点在接收到所述内容请求后，响应所述内容请求以向所述客户端提供部分内容资源，并向所述调度鉴权服务器发送包含有所述鉴权信息的鉴权请求；

所述调度鉴权服务器根据所述鉴权请求进行鉴权，所述鉴权包括判断所述唯一标识符是否已经登记在线，如果该唯一标识符已经登记在线，则所述调度鉴权服务器指令所述内容分发网络节点终止提供内容服务；如果该唯一标识符并未登记在线，则将所述唯一标识符登记在线。

在一个实施例中，所述调度鉴权服务器被配置成向所述客户端返回唯一标识符时，把所述唯一标识符注册成“存在”状态，用于判断所述客户端发送的内容请求中所包含的唯一标识符是否是所述调度鉴权服务器自己产生的。

在一个实施例中，所述调度鉴权服务器在判断所述唯一标识符是否已经登记在线之前，判断所述唯一标识符是否存在，如果不存在，则所述调度鉴权服务器向所述内容网络节点下发终止服务；如果存在，则所述调度鉴权服务器判断所述唯一标识符是否已经登记在线。

在一个实施例中，所述鉴权请求的连接保持为长连接，以确保所述调度鉴权服务器所下发的鉴权结果能够针对到所述内容请求所对应的媒体流。

在一个实施例中，所述内容分发网络节点在接收到所述内容请求后并响应所述内容请求以向所述客户端提供部分内容资源之前，还对所述内容请求进行本地防盗链判断，对于未通过本地防盗链判断的内容请求予以过滤。

本发明的防盗链方法和系统具有以下优点：

(1)源服务器中的代码结构和业务逻辑无需做任何改变；

(2)播放器端需要发起包含有时间戳、唯一标识、以及一般防盗链信息的请求。

(3)系统由本地CDN边缘服务器、鉴权服务器组成。

(4)CDN节点做初步的防盗链判断，通过之后下发CDN边缘服务器允许响应，并把请求转发给鉴权服务器。

(5)鉴权服务器接收鉴权请求，作出判断，同时下发判断给CDN边缘服务器。最后CDN边缘服务器根据鉴权结果判断是中断服务，还是继续服务。

(6)在调度系统的基础上建立唯一标示符产生、注册、鉴权机制，这样使系统形成一个闭环，抬高了防盗链的难度等级。

附图说明

本发明的以上发明内容以及下面的具体实施方式在结合附图阅读时会得到更好的理解。需要说明的是，附图仅作为所请求保护的发明的示例。在附图中，相同的附图标记代表相同或类似的元素。

图1示出现有技术中的回源鉴权系统结构；

图2示出根据本发明的基于调度系统的单点访问异步防盗链系统框图；

图3示出根据本发明的一实施例的防盗链系统的具体工作流示意图。

具体实施方式

以下在具体实施方式中详细叙述本发明的详细特征以及优点，其内容足以使任何本领域技术人员了解本发明的技术内容并据以实施，且根据本说明书所揭露的说明书、权利要求及附图，本领域技术人员可轻易地理解本发明相关的目的及优点。

本发明的防盗链系统致力于保护流媒体视频厂商的利益，打击非法盗链行为。在http协议的基础上，实现了先允许用户访问一小部分资源，再判断该访问是否是合法请求，然后再判断是否拒绝请求。该系统在用户请求和服务器之间是透明的，实现合法访问的用户零感知，既兼顾厂商的利益，又兼顾用户体验。

本发明的基于调度系统的单点访问异步防盗链系统能有效解决以下的技术问题：

(1)使用本发明的系统传输的是无需加密的文件，就能做到有效的版权保护。

(2)链接不易被模仿，并且具有一定的时间戳，一条链接的生存时间一般比较短。对于一条具有唯一标识的链接，如果已经被注册为在线，其他相同的链接都会被拒绝。过了生成时间也会被拒绝。

(3)可以做到先返回给用户一小部分媒体资源，再判断请求是否可行，兼顾用户体验和厂商利益。

(4)在调度系统的基础上建立唯一标示符产生、注册、鉴权机制，这样使系统形成一个闭环，抬高了防盗链的难度等级，唯一标识符在鉴权系统中是一把钥匙，只有得到它才能获得持续访问的权利。

下面配合附图进行详细说明。

图1示出现有技术中的回源鉴权系统结构。该系统构架由客户端101、调度系统102、鉴权服务器103、CDN节点104组成。客户端101向调度系统102发送了获取调度信息和唯一标识符的请求并获得响应之后，向CDN节点104发送内容请求，CDN节点104并不马上提供资源给客户端，而是在响应内容之前，先向鉴权服务器103发起鉴权请求，根据鉴权服务器103的鉴权结果，CDN节点104做出提供服务或者不提供服务的响应。

图2示出根据本发明的基于调度系统的单点访问异步防盗链系统框图。在一个实施例中，该系统包括客户端201、调度鉴权服务器202和内容分发网络(CDN)节点204。

该调度鉴权服务器202设置于调度系统内。该调度鉴权服务器202既能执行调度工作又能进行鉴权。

客户端201在向CDN节点204发起内容请求之前，先往该调度鉴权服务器202询问(即发送获取调度信息和鉴权信息的请求)，并获取响应，其中该响应包括鉴权信息和调度信息。在一个实施例中，该鉴权信息可包括唯一ID。该调度信息可包括用户所要访问的CDN节点的域名。调度鉴权服务器202发出上述响应的同时，会把该唯一ID注册成“存在”状态。需要指出的是，由于非法用户无法向调度系统发送请求，因此只有合法的客户端才能向调度鉴权服务器202发送请求。

客户端在获取鉴权信息和调度信息后，向CDN节点204(例如，边缘服务器)发起内容请求。在一个实施例中，该内容请求可以是流媒体请求。该内容请求包括鉴权信息。CDN节点204(例如，边缘服务器)在接收到该内容请求后，先响应给客户端一定的资源，然后向该调度鉴权服务器202发起鉴权请求，其中，该鉴权请求包含有上述鉴权信息。该调度鉴权服务器202对该鉴权请求进行鉴权，例如，判断该唯一ID是否已存在和/或登记在线，并返回鉴权结果。CDN节点204根据该调度鉴权服务器202的鉴权结果，做出继续提供服务或者中断流的响应。

图3示出根据本发明的一实施例的防盗链系统的具体工作流示意图。

本发明的防盗链系统的CDN节点可以根据域名进行配置，配置的粒度可以小到按文件名，或者某一类具有相同的规则的文件名。例如：对一个同一个域名下所有.exe、.m3u8进行防盗链判断。

本发明的防盗链系统流程如下。

步骤301：客户端向调度鉴权服务器发送第一请求。该第一请求为获取调度信息和鉴权信息的请求。

步骤302：调度鉴权服务器根据客户端IP对客户端进行调度并产生唯一标识符(ID)。

步骤303：调度鉴权服务器响应客户端。该响应包括调度信息和鉴权信息。在一个实施例中，该调度信息包括用户所要访问的CDN节点的域名。该鉴权信息包括该唯一标识符(ID)。

步骤304：调度鉴权服务器在响应客户端的同时，把该唯一标识符注册成“存在”，注册成“存在”的目的在于，在之后的鉴权过程中，调度鉴权服务器可用于判断该ID是否存在于调度鉴权服务器自己提供的ID列表中，即可用于判断客户端所发送的内容请求中所包含的ID是否是调度鉴权服务器自己产生的。

步骤305：客户端在获得了包含唯一标识符的鉴权信息后，向CDN节点发送内容请求(又称第二请求)。在一个实施例中，该第二请求可以是流媒体请求。客户端发起的第二请求中可包括鉴权信息。该鉴权信息包括唯一标识符、时间戳、客户端IP、跳转页信息等。该时间戳为URL生命周期的终止时间，或者为该唯一标识符的有效时间。在一个实施例中，鉴权信息的具体信息可以由客户端与CDN节点约定。例如，鉴权信息可以包括含有加密的时间戳和唯一标识符组成的加密串、未加密时间戳、客户端IP、诸如reference等跳转页信息、等等。鉴权信息可以采用加密的方式，也可以不加密。鉴权信息的内容可以作为http请求头的项进行请求，也可以以参数的形式携带在URL中，或者可以在URI中插入鉴权信息。

步骤306：在接收到第二请求后，CDN节点进行本地防盗链判断。具体而言，如果该CDN节点所对应的域名有防盗链的配置，则进入本地简单防盗链处理机制。例如：判断请求的URL是否是允许访问的IP；判断reference是否正确。本地简单防盗链可以拦截一些简单的盗链行为，从而过滤一些非法请求，减少发往调度鉴权服务器的请求数，以缓解调度鉴权服务器的压力，提高响应速度。这个功能可以打开，也可以选择关闭。

步骤307：如果第二请求通过了CDN节点的本地防盗链，则CDN节点立即响应第二请求，即产生首次响应流318，并向调度鉴权服务器发送鉴权请求,其中，该鉴权请求包含有上述鉴权信息。在一个实施例中，CDN节点可以把时间戳和唯一标识符(加密或者不加密)等鉴权信息使用POST的请求方式发往调度鉴权服务器。此时需要保持长连接。这里使用的鉴权信息可以是约定的任何信息，CDN边缘节点需要提供相应的可配置的接口；POST请求需要保持长连接是因为要确保鉴权服务器的鉴权结果能找到需要被鉴权的那路流，这里也可以使用其他识别方法使得判断鉴权服务器的鉴权下发的判断结果能够针对到对应的URL。

调度鉴权服务器对CDN节点发上来的鉴权请求进行鉴权信息获取，并进入鉴权流程。该鉴权流程可包括以下步骤。

步骤308：调度鉴权服务器解密加密串。如果鉴权信息中包含了加密串和未加密的时间戳，则调度鉴权服务器可采用鉴权信息中的未加密的时间戳对加密串里的时间戳进行校验，如果校验发现两者不一样，则下发CDN节点，令其终止服务320。否则进入步骤309。若鉴权信息未加密，则步骤308可以省略。

采用此种校验方式的原因是由于盗链者复制到的请求中所含的加密串中的时间戳与盗链者自己提供的未加密的时间戳(该加密时间戳是当前的)通常是不一致的，因此，可以采用此种方法进行校验。

步骤309：调度鉴权服务器判断时间戳是否超过生存时间，如果超过，则下发CDN节点终止服务320。否则进入步骤310。

步骤310：调度鉴权服务器判断唯一标识符是否存在于该调度鉴权服务器的ID列表中，如果不存在，说明该用户提供的唯一标识符并不是调度鉴权服务器提供的，该用户为非法用户，调度鉴权服务器下发CDN节点终止服务320。否则，进入步骤311。

步骤311：调度鉴权服务器判断唯一标识符是否已经登记为在线，如果该唯一标识符已经登记在线，则说明该唯一标识符已经有合法用户进行了登记，当前用户为非法用户，因此，调度鉴权服务器下发CDN节点终止服务320。否则，进入步骤312。从步骤311中可以看出，本发明是一个“单点访问”的防盗链系统，即同一时间，只能有一个合法用户访问资源，当这个合法用户登记为“在线”状态后，任何盗链者都无法再访问该资源。

步骤312：调度鉴权服务器将该唯一标识符(ID)为登记为“在线”状态。

步骤313：调度鉴权服务器将鉴权结果下发到CDN节点，如果鉴权通过，则CDN节点继续提供内容响应给客户端321。

需要注意的是，调度鉴权服务器的校验过程可以根据和CDN节点约定的规则进行。接收的鉴权信息不同，对应的鉴权方法也有所不同。

CDN节点接收调度鉴权服务器的响应之后，获取鉴权结果信息，并按照鉴权结果执行是否继续服务。同时断开长连接。这里的鉴权结果信息可以包含在HTTP头里，例如状态码和/或包含在body里。鉴权结果信息的内容可以是简单的状态码200,206,403或者包含在body里的，包含拒绝、限速等信息。

CDN节点返回给客户端的拒绝信息里，可以只包含状态码，也可以返回状态码+鉴权错误具体信息(即包含在body里)。

如图所示，图2和图3的系统构架与图1的系统构架的一个区别是图2和图3中进行调度和鉴权的服务器是结合在一起的，形成调度鉴权服务器202。这使得服务器的唯一ID的产生和鉴权都是在一个中心里进行，这种做法至少有以下几点优势。

首先，方便唯一ID的管理。防盗链系统可以通过一些内部校验机制来确保唯一ID是由调度鉴权中心(例如：调度鉴权服务器)发出。举例而言，当鉴权调度中心产生一个唯一ID时，会将这个ID注册为“存在”状态，同时给出唯一ID的生存时间，通常这个生存时间很短。当盗链者自己构造一个ID，由于不是调度鉴权中心注册为“存在”的ID，所以被判断为非法；盗链者如果拷贝客户端发出的请求的URL(包括ID)，这个时候如果超过生存时间，也是非法的，如果还没超过生存时间，这时正常用户已经发起访问，ID其实是被注册为在线的，因此也不可访问，即使此时正常用户已经不再访问，但是这条ID已经被注册在线，盗链者根本没法盗链。由此可见，唯一ID只能被使用一次，以拷贝请求的方式无法进行盗链。

其次，由于唯一ID的产生和鉴权都来自同一个地方，因此唯一ID的构成规则可以随时改变，使得鉴权的内容更加灵活。例如：当视频厂商发现防盗链破解了解密算法，可以立即改变唯一ID的加密方式，同时也改变解密方式，这些改变加密和解密规则的动作以前是要在调度系统和鉴权服务器中分别进行的，而现在只需要在一个组件中进行修改就行了。相比现有技术中ID生成系统与鉴权系统分离的做法，本发明的防盗链系统将唯一ID的产生、注册、鉴权统一交由调度系统(调度鉴权服务器)进行，形成一个闭环，抬高了防盗链的难度登记。

再次，从上述的系统构架中可以看出，本发明的防盗链系统是一个单点访问的异步防盗链系统。所谓“异步”是指本发明可以做到先将一小部分媒体资源提供用户，再判断请求是否可行。相比传统的先判断后放行的防盗链系统，本发明的这种做法既不影响合法用户的用户体验，也保护了流媒体视频厂商的利益。

这里采用的术语和表述方式只是用于描述，本发明并不应局限于这些术语和表述。使用这些术语和表述并不意味着排除任何示意和描述(或其中部分)的等效特征，应认识到可能存在的各种修改也应包含在权利要求范围内。其他修改、变化和替换也可能存在。相应的，权利要求应视为覆盖所有这些等效物。

同样，需要指出的是，虽然本发明已参照当前的具体实施例来描述，但是本技术领域中的普通技术人员应当认识到，以上的实施例仅是用来说明本发明，在没有脱离本发明精神的情况下还可做出各种等效的变化或替换，因此，只要在本发明的实质精神范围内对上述实施例的变化、变型都将落在本申请的权利要求书的范围内。

Claims (10)

1.一种基于调度系统的防盗链方法，其特征在于，所述方法包括：

客户端向调度鉴权服务器发送获取调度信息和鉴权信息的请求，其中，所述调度鉴权服务器设置于所述调度系统中，所述调度鉴权服务器既能进行资源调度又能进行鉴权；

所述调度鉴权服务器向所述客户端返回响应，所述响应包括调度信息和鉴权信息，其中所述鉴权信息包括唯一标识符；

所述客户端随后向内容分发网络节点发送内容请求，该内容请求包含鉴权信息；

所述内容分发网络节点在接收到所述内容请求后，响应所述内容请求以向所述客户端提供部分内容资源，并向所述调度鉴权服务器发送包含有所述鉴权信息的鉴权请求；

所述调度鉴权服务器根据所述鉴权请求进行鉴权，所述鉴权包括判断所述唯一标识符是否已经登记在线，如果该唯一标识符已经登记在线，则所述调度鉴权服务器指令所述内容分发网络节点终止提供内容服务；如果该唯一标识符并未登记在线，则将所述唯一标识符登记在线。

2.如权利要求1所述的方法，其特征在于，所述调度鉴权服务器向所述客户端返回唯一标识符时，把所述唯一标识符注册成“存在”状态，用于判断所述客户端发送的内容请求中所包含的唯一标识符是否是所述调度鉴权服务器自己产生的。

3.如权利要求2所述的方法，其特征在于，所述调度鉴权服务器判断所述唯一标识符是否已经登记在线之前，还包括以下步骤：

所述调度鉴权服务器判断所述唯一标识符是否存在，如果不存在，则所述调度鉴权服务器向所述内容分发网络节点下发终止服务；如果存在，则所述调度鉴权服务器判断所述唯一标识符是否已经登记在线。

4.如权利要求1所述的方法，其特征在于，所述鉴权请求的连接保持为长连接，以确保所述调度鉴权服务器所下发的鉴权结果能够针对到所述内容请求所对应的媒体流。

5.如权利要求1所述的方法，其特征在于，所述内容分发网络节点响应所述内容请求以向所述客户端提供部分内容资源之前，还包括以下步骤：

所述内容分发网络节点在接收到所述内容请求后，进行本地防盗链判断，对于未通过本地防盗链判断的内容请求予以过滤。

6.一种基于调度系统的异步防盗链系统，其特征在于，包括：

客户端；

调度鉴权服务器，所述调度鉴权服务器位于所述调度系统所述调度鉴权服务器既能进行资源调度又能进行鉴权；

以及内容分发网络节点；

其中：

所述客户端向调度鉴权服务器发送获取调度信息和鉴权信息的请求，所述调度鉴权服务器向所述客户端返回响应，所述响应包括调度信息和鉴权信息，其中所述鉴权信息包括唯一标识符；

所述客户端在获得了所述鉴权信息后，向内容分发网络节点发送内容请求，该内容请求包含鉴权信息；

所述内容分发网络节点在接收到所述内容请求后，响应所述内容请求以向所述客户端提供部分内容资源，并向所述调度鉴权服务器发送包含有所述鉴权信息的鉴权请求；

所述调度鉴权服务器根据所述鉴权请求进行鉴权，所述鉴权包括判断所述唯一标识符是否已经登记在线，如果该唯一标识符已经登记在线，则所述调度鉴权服务器指令所述内容分发网络节点终止提供内容服务；如果该唯一标识符并未登记在线，则将所述唯一标识符登记在线。

7.如权利要求6所述的系统，其特征在于，所述调度鉴权服务器被配置成向所述客户端返回唯一标识符时，把所述唯一标识符注册成“存在”状态，用于判断所述客户端发送的内容请求中所包含的唯一标识符是否是所述调度鉴权服务器自己产生的。

8.如权利要求7所述的系统，其特征在于，所述调度鉴权服务器在判断所述唯一标识符是否已经登记在线之前，判断所述唯一标识符是否存在，如果不存在，则所述调度鉴权服务器向所述内容网络节点下发终止服务；如果存在，则所述调度鉴权服务器判断所述唯一标识符是否已经登记在线。

9.如权利要求6所述的系统，其特征在于，所述鉴权请求的连接保持为长连接，以确保所述调度鉴权服务器所下发的鉴权结果能够针对到所述内容请求所对应的媒体流。

10.如权利要求6所述的系统，其特征在于，所述内容分发网络节点在接收到所述内容请求后并响应所述内容请求以向所述客户端提供部分内容资源之前，还对所述内容请求进行本地防盗链判断，对于未通过本地防盗链判断的内容请求予以过滤。