SRS - 如何保护您的HTTP API安全

建立 SRS 服务器后，您可以通过 HTTP API 使用 SRS 控制台或其他 HTTP 客户端进行访问。然而，为了防止未经授权的访问，保护您的 HTTP API 是至关重要的。本文将详细介绍如何保护您的 HTTP API，确保其安全性。

启用 HTTP API 安全功能

升级 SRS 版本

首先，请确保您的 SRS 版本已升级到以下版本之一：

• SRS 5.0.152 或更高版本
• SRS 6.0.40 或更高版本

这些版本支持 HTTP API 的安全功能。

配置 HTTP 基本身份验证

通过修改配置文件启用 HTTP 基本身份验证。以下是配置示例：

# conf/http.api.auth.conf
http_api {
    enabled;
    listen 1985;
    auth {
        enabled;
        username admin;
        password admin;
    }
}

完成配置后，使用以下命令启动 SRS：

./objs/srs -c conf/http.api.auth.conf

或者，您也可以通过环境变量设置用户名和密码：

env SRS_HTTP_API_ENABLED=on SRS_HTTP_SERVER_ENABLED=on 
SRS_HTTP_API_AUTH_ENABLED=on SRS_HTTP_API_AUTH_USERNAME=admin 
SRS_HTTP_API_AUTH_PASSWORD=admin ./objs/srs

配置完成后，您可以通过以下 URL 验证 HTTP API 的访问：

http://admin:admin@localhost:1985/

如果需要清除用户名和密码，您可以仅使用用户名访问 HTTP API。

使用 SRS 控制台管理服务器

SRS 控制台是一个用于管理 SRS 服务器的 Web 应用程序。服务器启动后，您可以通过以下 URL 访问控制台：

http://localhost:8080/console/

如果启用了 HTTP API 身份验证，您需要使用带有用户名和密码的 URL 访问控制台：

http://admin:admin@localhost:8080/console/

或者，浏览器会提示您输入用户名和密码。

针对 SRS 4.0 的解决方案

SRS 4.0 不支持 HTTP API 身份验证，但您可以通过以下方法保护 HTTP API：

使用 Nginx 代理

通过 Nginx 代理 HTTP API，并在 Nginx 中启用 HTTP 基本身份验证。以下是架构示意图：

浏览器 --- HTTP 认证 ---> Nginx --- HTTP ---> SRS 4.0

修改 SRS 配置

将 SRS HTTP API 的监听地址更改为本地回环地址，以限制访问范围：

http_api {
    enabled;
    listen 127.0.0.1:1985;
}

通过这种方式，HTTP API 只能由本地主机的代理服务器访问。

WebRTC API 的安全性

SRS 不支持 WebRTC 的 HTTP API 身份验证。对于 WebRTC 客户端的验证，建议使用 HTTP 回调机制来确保安全性。

结论

保护 HTTP API 是确保 SRS 服务器安全运行的重要步骤。通过启用 HTTP 基本身份验证或使用代理方案，您可以有效防止未经授权的访问。对于 WebRTC API，建议采用 HTTP 回调机制来加强安全性。

原文链接: https://ossrs.net/lts/en-us/blog/secure-your-http-api