CDN URL 鉴权 Type A 适合对静态资源安全性要求较高、需要精确控制访问时效的场景，通过后端生成带签名的临时链接，能有效防止资源被恶意盗刷和直接分享。

核心原理与 URI 定义规范

URL 鉴权 Type A 通过在链接中嵌入时间戳和签名，将资源访问权限与特定时间段绑定。CDN 节点收到请求后，会使用相同的密钥和算法本地复算签名，如果请求中的签名与本地计算不一致，或时间戳已过期，CDN 将直接拦截请求并返回 403 错误。

关键定义：签名字符串中的 URI 通常指资源路径，必须以正斜线（/）开头，不包含域名，通常也不包含查询参数。不同云厂商对此定义可能存在细微差异，配置前务必核对控制台说明。

待签名字符串 = URI-Timestamp-rand-uid-PrivateKey
鉴权参数 = timestamp-rand-uid-md5(待签名字符串)
最终 URL = http://域名/文件路径？auth_key=鉴权参数

主流云厂商控制台配置路径

不同云厂商的控制台菜单路径存在差异，以下是主流平台的常见配置入口：

在控制台开启鉴权 Type A 后，设置鉴权密钥（PrivateKey）。密钥通常由 6~32 位大小写字母和数字构成，建议定期更换。

后端签名代码实现示例

在业务服务器中实现签名生成逻辑。获取当前 Unix 时间戳（10 位整数），生成随机数（rand，建议使用不含中划线的 UUID），用户 ID（uid）通常设为 0。以下是主流语言的实现参考：

Python 示例：

import hashlib
import time
import uuid

def generate_auth_url(uri, private_key, expire_seconds=1800):
    timestamp = int(time.time()) + expire_seconds
    rand = str(uuid.uuid4()).replace('-', '')
    uid = 0
    # 注意：URI 必须以/开头，不含域名
    sign_str = f"{uri}-{timestamp}-{rand}-{uid}-{private_key}"
    md5_hash = hashlib.md5(sign_str.encode()).hexdigest()
    auth_key = f"{timestamp}-{rand}-{uid}-{md5_hash}"
    return f"http://your-domain.com{uri}?auth_key={auth_key}"

# 调用示例
# url = generate_auth_url("/video/test.mp4", "your_private_key")

Java 示例：

import java.security.MessageDigest;
import java.util.UUID;

public class AuthUtil {
    public static String generateAuthKey(String uri, String privateKey, int expireSeconds) {
        long timestamp = System.currentTimeMillis() / 1000 + expireSeconds;
        String rand = UUID.randomUUID().replace("-", "");
        int uid = 0;
        String signStr = uri + "-" + timestamp + "-" + rand + "-" + uid + "-" + privateKey;
        String md5 = md5(signStr);
        return timestamp + "-" + rand + "-" + uid + "-" + md5;
    }
    // 需自行实现 md5 方法
}

验证方法与 curl 命令

配置完成后，务必通过命令行工具验证鉴权是否生效，避免依赖浏览器缓存干扰测试结果。

1. 正常访问测试

curl -I "http://your-domain.com/video/test.mp4?auth_key=timestamp-rand-uid-md5"
# 预期结果：HTTP/1.1 200 OK

2. 过期访问测试

等待鉴权有效时间过期后，再次访问同一 URL。

curl -I "http://your-domain.com/video/test.mp4?auth_key=expired_timestamp..."
# 预期结果：HTTP/1.1 403 Forbidden

3. 参数篡改测试

手动修改 URL 中的时间戳或签名字符串中的任意一位，访问时应立即被拦截。

curl -I "http://your-domain.com/video/test.mp4?auth_key=timestamp-rand-uid-wrongmd5"
# 预期结果：HTTP/1.1 403 Forbidden

鉴权失败排查与常见坑

1. 时间同步问题

生成签名的服务器时间与 CDN 节点时间若不一致，可能导致合法链接被误判为过期。确保业务服务器使用 NTP 同步标准时间，误差建议控制在 1 分钟以内。

2. 缓存命中率影响

若未配置忽略 URL 参数，鉴权参数可能导致缓存 key 变化，增大回源概率。部分平台鉴权通过后会自动去掉鉴权参数还原为原始 URL 以提高缓存命中率，配置时需确认此行为，或在 CDN 控制台配置“忽略参数”。

3. 密钥泄露风险

鉴权密钥仅应在客户端与服务端知晓，严禁硬编码在前端代码或公开仓库中。一旦泄露，攻击者可自行生成合法签名。

4. 失败请求成本

客户端请求鉴权不通过被拦截时，依然消耗了 CDN 节点资源。部分云厂商会对拦截请求产生少量流量或带宽费用，全站加速域名还可能产生请求数费用，需留意计费规则。

5. 排查日志分析

若配置无误但仍返回 403，查看 CDN 实时日志。若日志中显示“鉴权失败”或“签名不匹配”，重点检查后端生成的签名字符串拼接顺序是否与 CDN 控制台要求完全一致（特别是 URI 是否包含查询参数）。