FFmpeg 4.4.2实战：5分钟搞定MP4视频的AES-128加密与TS分片（附完整keyinfo文件配置）
FFmpeg 4.4.2实战：5分钟搞定MP4视频的AES-128加密与TS分片（附完整keyinfo文件配置）
视频内容的安全传输一直是开发者关注的焦点。HLS（HTTP Live Streaming）协议因其良好的兼容性和适应性，成为当前主流的流媒体传输方案。而AES-128加密则是保护视频内容不被非法获取的有效手段。本文将手把手教你如何用FFmpeg 4.4.2快速实现MP4视频的加密分片处理。
1. 准备工作与环境配置
在开始之前，我们需要确保系统已经安装了正确版本的FFmpeg。可以通过以下命令检查：
ffmpeg -version如果输出显示版本低于4.4.2，建议升级到最新稳定版。同时，我们还需要OpenSSL工具来生成加密所需的密钥和IV（初始化向量）。
对于Ubuntu/Debian系统，可以通过以下命令安装必要组件：
sudo apt update sudo apt install ffmpeg openssl -y准备好一个测试用的MP4视频文件，建议时长在1-5分钟之间，这样便于快速验证加密分片效果。将视频文件放在一个干净的目录中，后续生成的所有文件都会放在这个目录下。
2. 生成加密密钥与IV
AES-128加密需要两个关键元素：密钥(Key)和初始化向量(IV)。密钥用于加密视频内容，而IV则增加了加密的随机性，使相同的明文在不同IV下会产生不同的密文。
使用OpenSSL生成16字节的随机密钥：
openssl rand 16 > enc.key这个命令会生成一个名为enc.key的二进制文件，包含16个随机字节。接下来生成IV：
openssl rand -hex 16示例输出可能是：c2e0028a3b2c470c6e6a4623b427f23b。请记录下这个值，后续配置keyinfo文件时会用到。
注意：密钥和IV需要妥善保管，一旦丢失将无法解密已加密的视频内容。同时，在生产环境中，建议定期更换密钥以提高安全性。
3. 配置keyinfo文件
keyinfo文件是连接加密密钥与FFmpeg处理流程的桥梁。它告诉FFmpeg在哪里可以找到加密密钥，以及使用哪个IV进行加密。
创建一个名为enc.keyinfo的文本文件，内容格式如下：
Key URI Path to key file IV具体来说：
- 第一行：密钥的访问URI（可以是http地址或本地路径）
- 第二行：密钥文件的本地路径
- 第三行：之前生成的IV值
假设我们将enc.key放在本地web服务器的/static/目录下，完整的enc.keyinfo文件内容可能如下：
http://localhost:8000/static/enc.key enc.key c2e0028a3b2c470c6e6a4623b427f23b提示：在开发测试阶段，可以直接使用本地路径。但在生产环境，强烈建议通过HTTPS提供密钥文件，以防止中间人攻击。
4. 执行FFmpeg加密分片命令
现在我们已经准备好所有必要组件，可以执行FFmpeg命令进行加密分片了。基本命令结构如下：
ffmpeg -i input.mp4 -hls_time 5 -hls_key_info_file enc.keyinfo -hls_playlist_type vod -hls_segment_filename "file%d.ts" playlist.m3u8让我们分解这个命令的各个参数：
| 参数 | 说明 |
|---|---|
-i input.mp4 | 指定输入视频文件 |
-hls_time 5 | 设置每个TS分片的时长(秒) |
-hls_key_info_file enc.keyinfo | 指定密钥信息文件路径 |
-hls_playlist_type vod | 生成点播(VOD)类型的播放列表 |
-hls_segment_filename "file%d.ts" | 自定义TS分片文件名格式 |
playlist.m3u8 | 输出播放列表文件名 |
执行命令后，你会得到以下文件：
- 多个.ts分片文件（如file0.ts, file1.ts等）
- 一个.m3u8播放列表文件
- enc.key密钥文件（如果之前没有移动）
5. 播放列表文件解析与验证
生成的playlist.m3u8文件内容大致如下：
#EXTM3U #EXT-X-VERSION:3 #EXT-X-TARGETDURATION:8 #EXT-X-MEDIA-SEQUENCE:0 #EXT-X-PLAYLIST-TYPE:VOD #EXT-X-KEY:METHOD=AES-128,URI="http://localhost:8000/static/enc.key",IV=0xc2e0028a3b2c470c6e6a4623b427f23b #EXTINF:7.533333, file0.ts #EXTINF:3.233333, file1.ts #EXTINF:4.966667, file2.ts #EXTINF:4.266667, file3.ts #EXTINF:3.500000, file4.ts #EXT-X-ENDLIST关键标签说明：
#EXT-X-KEY：指定加密方法和密钥位置#EXTINF：每个分片的时长#EXT-X-PLAYLIST-TYPE:VOD：表示这是点播流
要验证加密是否成功，可以尝试直接播放单个.ts文件（应该无法播放），然后使用支持HLS的播放器（如VLC）打开.m3u8文件（应该能正常播放）。
6. 常见问题与高级配置
在实际使用中，可能会遇到各种问题。以下是几个常见场景及解决方案：
问题1：分片时长不准确
FFmpeg的-hls_time参数只是建议值，实际分片时长会根据关键帧(I帧)位置调整。要获得更精确的分片，可以：
ffmpeg -i input.mp4 -force_key_frames "expr:gte(n,n_forced*5)" -hls_time 5 ...问题2：播放列表不更新
对于直播场景，需要去掉-hls_playlist_type vod参数，并设置：
-hls_list_size 6 -hls_wrap 10问题3：加密无效
确保keyinfo文件中的路径正确，并且播放器能够访问密钥文件。可以通过curl测试密钥URL是否可达：
curl http://localhost:8000/static/enc.key高级配置示例（添加视频转码参数）：
ffmpeg -i input.mp4 -c:v libx264 -crf 23 -preset fast -c:a aac -b:a 128k \ -hls_time 5 -hls_key_info_file enc.keyinfo -hls_playlist_type vod \ -hls_segment_filename "file%d.ts" playlist.m3u87. 生产环境部署建议
当准备将加密视频部署到生产环境时，需要考虑以下安全最佳实践：
密钥分发安全：
- 使用HTTPS提供密钥文件
- 考虑实现密钥轮换机制
- 可以对密钥URL进行签名，设置短期有效期
服务器配置：
- 确保.ts文件和.m3u8文件的MIME类型正确
- 配置适当的CORS策略
- 考虑使用CDN分发加密视频内容
监控与日志：
- 记录密钥请求日志
- 监控异常访问模式
- 设置速率限制防止暴力破解
备用方案：
- 准备无加密的降级版本
- 实现多DRM系统兼容
- 考虑使用商业加密解决方案增强保护
在实际项目中，我们发现最常见的错误是密钥文件路径配置不正确。特别是在Docker容器中部署时，相对路径可能会出现问题。建议总是使用绝对路径或明确的URL来引用密钥文件。