随着视频内容需求的爆发式增长，越来越多的开发团队选择Bunny Stream作为视频托管与CDN分发平台。然而，如何从Web管理后台实现安全、高效的直接上传，避免服务器中转带来的延迟和成本，成为架构设计中的关键难题。本文将深入剖析最佳实践，帮助开发者构建既安全又流畅的上传架构。
为何需要“直接上传”？
传统上传路径为：客户端 → 应用服务器 → Bunny Stream。这种方式虽然安全性可控，但应用服务器需处理大文件接收、临时存储及转发，不仅消耗大量带宽和CPU资源，还可能成为性能瓶颈。直接上传则允许客户端（浏览器或管理后台）将视频文件直接发送至Bunny Stream的存储节点，绕过中间服务器，大幅降低延迟和成本。然而，直接上传意味着必须解决身份验证、访问控制和数据完整性等安全问题。
核心架构：预签名URL + 临时凭证
经过社区实践和官方推荐，基于预签名URL（Presigned URL）的架构被公认为最安全、可扩展的方案。其工作流程如下：
- 客户端发起请求：管理后台用户选择视频文件后，向后端API发送上传意图请求，包含文件元数据（如大小、类型）。
- 后端生成预签名URL：应用服务器验证用户身份（如JWT或Session Token），确认其具有上传权限。随后调用Bunny Stream的API，生成一个带有时间戳和签名的直传URL。该URL通常仅允许指定文件名的单次PUT操作，且在几分钟后过期。
- 客户端直传：前端收到预签名URL后，直接通过PUT请求将文件上传至该URL，无需经过应用服务器。Bunny Stream的存储网关会验证签名和过期时间，确保合法性。
- 异步通知与状态更新：上传完成后，Bunny Stream可通过Webhook或回调通知后端，后端再更新数据库记录，触发转码、生成缩略图等后续流程。
安全增强措施
尽管预签名URL已提供基础保护，但针对敏感的管理后台场景，还需叠加以下策略：
- 细粒度权限控制：不应让所有管理员都能上传任意视频。最佳做法是在后端生成URL之前，检查用户角色、资源配额和存储路径。例如，只允许用户上传到其所属组织或项目文件夹。
- 限制文件类型和大小：预签名URL生成时，可以嵌入额外的条件（如Content-Type、Content-Length范围）。Bunny Stream目前支持通过API参数（如
contentType、maxSize）进行约束，避免非法文件绕过。 - 使用短期凭证：预签名URL的过期时间应尽可能短（例如5分钟），减少泄漏风险。同时，要求前端在上传失败时重新请求新URL，而非重试旧URL。
- 启用HTTPS与加密传输：所有API通信和上传链路必须使用TLS 1.2+，防止中间人攻击。Bunny Stream本身支持TLS，但需确保预签名URL的生成端也强制HTTPS。
备选架构：服务器端代理上传
如果团队对安全性要求极高，且能接受一定的性能折损，可采用服务器端代理上传模式。即客户端先将文件上传至应用服务器，服务器进行完整性校验、病毒扫描和元数据验证后，再通过Bunny Stream的API上传至存储。该方案完全避免了客户端直接接触Bunny Stream端点，但需要服务器具备足够的带宽和存储缓冲区，且不适合超大文件（如4K视频）。对于中小型管理后台，这是一种折中但可靠的选择。
最佳实践总结
综合来看，推荐采用 “预签名URL + 后端鉴权 + 异步回调” 的架构。具体实施时应注意：
- 后端应使用Bunny Stream的SDK或REST API生成预签名URL，避免自行实现签名算法。
- 所有上传请求应携带唯一的请求ID，便于日志审计和问题追踪。
- 考虑在前端实现断点续传（通过分片上传），虽然Bunny Stream原生支持分片，但管理后台场景下可借助第三方库（如Tus协议）增强用户体验。
- 定期轮换API密钥，并将密钥存储在安全的环境中（如Vault或环境变量），切勿硬编码在前端。
结语
Bunny Stream的直接上传功能为视频工作流带来了极大的灵活性和性能提升，但安全架构的设计不能掉以轻心。通过合理使用预签名URL、细粒度访问控制以及短期凭证，开发者可以构建一个既满足业务需求又符合安全规范的解决方案。随着Web应用对实时性和低延迟的追求，这一架构将成为视频管理后台的标准范式。