图解系列 图解直播推拉流流程

常用开源流媒体服务器为SRS和MTX

• ZLMediaKit
• mediamtx
• srs

流程

涉及到的组件

• 主播（推流端）
• 观众（播放器）
• 业务服务【持有一些私有Key，如rtmpKey等】
• 流媒体服务器【SRS/MTX】
• CDN【持有公钥】

推流流程

1.主播登录系统。

2.主播点击发起直播，业务系统返回一个可用的推流地址，其携带认证token（token直接使用JWT也行）。

• token = now time + random + ttl + signature md5(now time + random + ttl + rtmpKey) 【自己验自己只用一个key即可】

• 示例：

  • signature = md5(now time + random + ttl + rtmpKey) = 88195f8943e5c944066725df2b1706f8
  • rtmp://192.168.1.10/live?time=1402307089&expire=3600&signature =88195f8943e5c944066725df2b1706f8

  加签是为了放篡改，把防止篡改的信息都参与加签

3.主播用上一步返回的可用推流地址进行推流。

4.根据地址会连接到SRS/MTX。

后面都以SRS举例，在SRS上提前配置http回调，回调到我们的业务系统。

• on_connect http://127.0.0.1:8085/api/v1/on_connect;

当客户端连接到指定的vhost和app时会触发这个callback。

5.我们在业务系统拿到token去校验， 按同样的算法验证，如果md5变了就返回错误，srs就会拒绝连接。如果返回0就会接受连接。

6.流媒体服务器就可以根据我们的配置在内存中生成flv或者在文件系统生成ts文件。

扩展

1.ts文件移动，移动到OSS或其他位置

on_hls：当SRS获取HLS的ts文件时触发 POST请求

当切片生成时，回调这个url，使用POST回调。用来和自己的系统集成，譬如实现切片移动等。

{
"action": "on_hls",
"client_id": 1985,
"ip": "192.168.1.10", 
"vhost": "video.test.com", 
"app": "live",
"stream": "livestream", 
"param":"?token=xxx&salt=yyy",
"duration": 9.36, // in seconds
"cwd": "/usr/local/srs",
"file": "./objs/nginx/html/live/livestream/2015-04-23/01/476584165.ts",
"url": "live/livestream/2015-04-23/01/476584165.ts",
"m3u8": "./objs/nginx/html/live/livestream/live.m3u8",
"m3u8_url": "live/livestream/live.m3u8",
"seq_no": 100, "server_id": "vid-werty"
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

2.触发CDN上ts文件的缓存预热

on_hls_notify：当SRS获取HLS的ts文件时触发，用于将文件推送到CDN网络，通过从CDN网络获取ts文件。该请求是一个GET请求，请求地址为格式：

当切片生成时，回调这个url，使用GET回调。用来和系统集成，可以使用[ts_url]变量，实现预分发(即下载一次ts片，预热)。

• https://127.0.0.1:8085/api/v1/hls/[app]/[stream]/[ts_url]?[param]

[server_id]服务器ID
[app]应用名称
[stream]流名称
[ts_url]url
[param]参数

拉流流程

1.观众根据需要可登录也可不登录到系统。

2.业务系统返回一个可用的播放地址，这个播放地址是CDN的，临时的（10分钟过期）

• 播放地址可以是Http-flv地址，也可以是hls的m3u8地址。
• 每次请求都会返回一个不一样的CDN临时URL。
  • 如果是涉密的流，管理好这个临时URL即可，例如只有登录的人才返回这个URL。
• 例如：http://cdn.com/stream.m3u8?timestamp=1456213&ttl=600&random&signature=md5hash(timestamp,ttl,random+CDNKey)
  • 跟推流时候的临时签名一样。
  • 防篡改 + 临时有效性10分钟。
• 注意这个地址也是业务系统加签，但是验签是CDN，回源的时候业务系统自己也会验。
  • 这里因为是2个系统加签，验签流程，所以可以采用私钥加签，公钥验签逻辑，业务系统用私钥加签，CDN用共钥验签。（可以用多套密钥对，参数传递密钥对ID）
  • 也可以用对称算法加签验签。
  • 无论什么算法，都要去CDN上传你的key。

3.当用户拿着加了CDN的临时url访问时,CDN会鉴权，会验证是否过期，是否篡改。

• CDN节点对鉴权URL中的鉴权信息（包括鉴权字符串、时间戳等）进行验证，判断请求的合法性。

• 鉴权失败，拒绝访问请求。

• 鉴权通过，正常响应合法请求。

4.如果CDN有cache则直接返回，否则CDN请求源站，即回源操作。

5.回源服务器鉴权保护，我们可以将源站设置为仅允许 CDN访问，而拒绝客户端的直接回源。

• 同样鉴权URL中的鉴权信息（包括鉴权字符串、时间戳等）进行验证，判断请求的合法性，是否过期，是否篡改。

• 在 CDN Origin 设置时，添加自定义 Header 字段及值，源站对请求中的字段检查，若不含有该 Header 字段及值，则返回错误码。

• 验证请求IP白名单，只运行CDN的IP放行请求。

  • AWS的CloudFront的IP段：https://ip-ranges.amazonaws.com/ip-ranges.json

• 若源站为OSS存储桶

  在OSS存储桶策略中设置，仅允许CDN从存储桶中获取内容。

文件加密

背景信息

HLS（HTTP Live Streaming的缩写）是一个由苹果公司提出的基于HTTP的流媒体网络传输协议。HLS协议基于HTTP协议，客户端按照顺序使用HTTP协议下载存储在服务器上的文件。HLS协议规定，视频的封装格式是TS（Transport Stream），除了TS视频文件本身，还定义了用来控制播放的M3U8文件（文本文件）。HLS协议的工作原理是把整个视频流分割成一个个小的TS格式视频文件来传输，在开始一个流媒体会话时，客户端会先下载一个包含TS文件URL地址的M3U8文件（相当于一个播放列表），给客户端用于下载TS文件。

HLS基本字段：

• #EXTM3U：M3U8文件头，必须放在第一行。
• EXT-X-MEDIA-SEQUENCE ：第一个TS分片的序列号，一般情况下是0，但是在直播场景下，这个序列号标识直播段的起始位置； #EXT-X-MEDIA-SEQUENCE:0。
• #EXT-X-TARGETDURATION：每个分片TS的最大的时长； #EXT-X-TARGETDURATION:10 ，表示每个分片的最大时长是10秒。
• #EXT-X-ALLOW-CACHE：是否允许cache，#EXT-X-ALLOW-CACHE:YES 、#EXT-X-ALLOW-CACHE:NO，默认情况下是YES。
• #EXT-X-ENDLIST：M3U8文件结束符。
• #EXTINF：extra info，分片TS的信息，如时长，带宽等；一般情况下是 #EXTINF:,[