一、为什么要给RTMP直播流加密？

很多公司或者教育机构做内部技术分享、员工培训的时候，会用直播工具推流，然后通过Nginx-RTMP搭建自己的直播服务器，方便大家看回放或者实时观看。但默认的RTMP流是明文传输的，就像你把家门敞开，谁都能随便进来拉流或者推流，万一有人把你的内部直播盗用到自己的平台，或者随便篡改推流内容，那损失可就大了。比如一家互联网公司的内部产品发布会直播，不想让外部人员看到，这时候就必须给RTMP流加一层防护，防止未授权的访问。这就是我们要给RTMP流加密的核心原因，把原本敞开的门加上锁，只有拿着正确钥匙的人才能进来。

二、Nginx-RTMP流加密的核心思路

要给RTMP流加密，核心就是在推流和拉流的环节加一层验证，相当于进公司要刷卡，推流的人必须出示正确的“门禁卡”，才能把流推到服务器；拉流的人如果有需要的话，也得出示正确的“门禁卡”才能看直播。常用的加密方式有两种，一种是在推流地址里带密钥，另一种是用用户名密码做认证，前者简单适合快速部署，后者更安全适合对安全性要求高的场景。我们今天就以最常用的推流地址带密钥的方式为例，带大家一步步配置，通俗易懂，哪怕你刚接触Nginx也能看懂。

三、具体配置步骤（带完整示例）

要做这个配置，首先得确保你的Nginx已经安装了RTMP模块。如果是用包管理安装的Nginx，大部分版本已经自带，你可以打开终端输入nginx -V，看看输出里有没有--with-rtmp-module这一行，如果有，说明已经装好了，直接改配置文件就行；如果没有，就需要重新编译Nginx的时候加上这个模块，不过新手的话，也可以直接找已经编译好的带RTMP模块的Nginx包，比如Ubuntu下的nginx-full包就带这个模块。

3.1 核心配置编写（带详细注释）

接下来就是最关键的配置部分，我们直接在Nginx的主配置文件里添加RTMP和验证相关的配置，整个配置都是围绕密钥验证展开，注释会帮你解释每一段的作用，哪怕你之前没写过Nginx配置也能明白。技术栈用Nginx配置文件，所以代码块标对：

# 这部分是RTMP流的核心配置，处理推流和拉流的请求
rtmp {
    server {
        listen 1935; # RTMP协议默认监听端口，就像小区的门牌号，别人要推流就得找这个端口
        chunk_size 4096; # 数据传输的块大小，不用改，默认就好
        
        # 定义推流的应用名，这里设为live，推流地址里就得带这个名字
        application live {
            live on; # 开启直播模式，这个必须开，不然不能用RTMP推流
            # 推流前的认证：推流的时候会先请求这个接口，我们会在这里验证密钥
            on_publish http://localhost/check_auth;
        }
    }
}

# 这部分是HTTP服务的配置，专门用来做密钥验证的接口，相当于门禁的保安室
http {
    server {
        listen 80; # HTTP服务默认端口，用来处理验证请求
        
        # 定义验证接口的路径，访问这个路径就会触发密钥验证
        location /check_auth {
            # 我们约定推流地址里的密钥参数叫key，这里判断这个key是不是正确的值
            # 正确的密钥我们设为"my_secure_key_2024"，你可以改成自己的
            if ($arg_key != "my_secure_key_2024") {
                # 密钥不对，返回403错误，拒绝推流
                return 403 "Sorry, invalid key. You can't push stream here.";
            }
            # 密钥正确，返回200成功，允许推流
            return 200 "Auth success, you can push stream.";
        }
    }
}

现在你可以把这个配置放到你的nginx.conf文件里，然后重启Nginx服务就生效了。接下来测试一下，推流的时候要在地址里加正确的密钥，比如用OBS推流，推流地址就写rtmp://你的服务器IP/live/stream?key=my_secure_key_2024，这样就能成功推流；如果把密钥改成错的，比如key=wrong_key，推流就会失败，服务器会返回403错误，这样就实现了推流的加密防护。

3.2 配置的细节补充

可能有人会问，拉流的时候要不要验证？如果你的直播只是内部使用，不想让外面的人随便看，也可以给拉流加验证，只要在application块里再加on_play http://localhost/check_play_auth;，然后再写一个check_play_auth的接口，用同样的方式验证拉流的密钥，这样就只有拿到密钥的人才能拉流看直播，双重防护更安全。比如拉流地址就写成rtmp://你的服务器IP/live/stream?key=你的拉流密钥，这样外面的人就算知道推流的地址，没有拉流密钥也看不了直播。

四、不同加密方式的优缺点对比

刚才我们用的是推流地址带密钥的方式，其实还有一种常用的方式是HTTP Basic Auth，就是用用户名和密码来认证，比如推流地址写成rtmp://用户名:密码@你的服务器IP/live/stream，Nginx的auth_basic模块会自动验证用户名密码，这种方式的优点是不需要自己写额外的验证接口，配置更简单，安全性也不错；缺点是用户名密码直接写在地址里，容易被泄露，比如别人截获地址就能拿到用户名密码。

而我们之前用的推流密钥方式，优点是密钥可以单独设置，不用暴露用户名，而且可以单独配置推流和拉流的不同密钥，灵活性更高；缺点是需要额外写一个验证接口，稍微麻烦一点，不过对于大部分中小团队来说，这个配置的复杂度完全可以接受，而且安全性足够。

五、实际应用中的注意事项

在实际使用的时候，有几个关键点要注意，不然加密配置可能没用或者出问题。首先，密钥不要硬编码在配置文件里，比如如果你的服务器有泄露的风险，别人拿到配置文件就能看到密钥，最好把密钥存在环境变量或者专门的密钥管理工具里，这样就算配置文件泄露，密钥也不会被轻易拿到。其次，要定期更换密钥，比如每个月换一次，就算密钥不小心泄露，也能快速补上漏洞，减少损失。

然后，如果你是在公网上用这个直播，还要注意把Nginx的端口做好防火墙规则，比如只允许公司内部的IP访问，或者用HTTPS来传输密钥，防止密钥在传输过程中被黑客窃听。还有，测试的时候一定要多测几次，比如用错误的密钥推流，看看是不是真的被拒绝，用正确的密钥推流，看看是不是能成功，拉流的时候也要测试错误的密钥能不能拉流成功，确保配置生效。另外，Nginx的RTMP模块要和你的Nginx版本兼容，最好用官方编译的稳定版本，避免出现兼容性问题导致加密失效。

六、总结

给Nginx-RTMP流加密，是保护直播内容安全的低成本方案，尤其是对于内部培训、企业内部直播等场景，简单的密钥验证就能有效防止未授权的推流和拉流。我们今天讲的配置方法，步骤清晰，代码带详细注释，哪怕是刚接触Nginx的开发者也能快速上手，只需要修改几个参数就能根据自己的需求调整。当然，如果你对安全性要求特别高，还可以结合HTTPS、Token认证等方式，进一步提升加密等级，核心思路都是围绕“只有合法用户才能进行推流/拉流操作”这个核心，从入口处就做好防护。