DRM数字版权管理：Widevine、FairPlay、PlayReady原理与实现

DRM基本概念

DRM（Digital Rights Management，数字版权管理）是一套用于保护数字内容不被未授权访问和复制的技术体系。在视频领域，DRM 通过加密技术确保只有获得授权的用户才能播放视频内容，是在线视频平台、付费影视、教育内容等场景的核心基础设施。

DRM的核心目标

• 内容保护：防止视频内容被非法下载和传播
• 权限控制：精细控制用户的观看权限、有效期、设备数量等
• 防盗链：防止内容链接被第三方网站盗用
• 可追溯性：通过数字水印等技术追踪内容泄露来源
• 多平台支持：在各种设备和浏览器中安全播放

DRM与普通加密的区别

很多人容易混淆 DRM 和普通的视频加密。普通的 AES-128 加密（如 HLS 中的 AES-128）只是对视频内容进行加密，密钥通常以明文形式在 M3U8 中传输，安全性较低。而 DRM 系统则提供了完整的密钥管理、设备认证、权限控制和安全播放环境，安全性更高。

三大DRM系统对比

目前主流的 DRM 系统有三家，分别由 Google、Apple 和 Microsoft 主导，形成了三足鼎立的局面。

1. Widevine（Google）

Widevine 是 Google 开发的 DRM 系统，是目前应用最广泛的 DRM 方案，特别在 Android 和 Chrome 生态中占据主导地位。

• 安全等级：分为 L1（硬件安全）、L2（软件安全）、L3（软件解密）三级
• 支持容器：DASH、HLS、CMAF
• 加密标准：AES-CTR、AES-CBC、CENC
• 适用平台：Android、Chrome、Firefox、Edge、智能电视等

2. FairPlay（Apple）

FairPlay 是 Apple 开发的 DRM 系统，主要应用于 Apple 生态系统，包括 iOS、macOS、tvOS 和 Safari 浏览器。

• 安全等级：依托 Apple 硬件安全模块，安全性高
• 支持容器：HLS、CMAF
• 加密标准：AES-128、SAMPLE-AES
• 适用平台：iOS、macOS、tvOS、Safari

3. PlayReady（Microsoft）

PlayReady 是 Microsoft 开发的 DRM 系统，在 Windows 生态和部分智能电视中应用广泛。

• 安全等级：支持硬件和软件安全级别
• 支持容器：DASH、HLS、平滑流、CMAF
• 加密标准：AES-CTR、AES-CBC、CENC
• 适用平台：Windows、Xbox、智能电视、机顶盒等

DRM工作原理

DRM 系统的工作流程可以分为内容加密、许可证获取和安全播放三个主要阶段。

1. 内容加密阶段

内容提供方使用加密工具对视频内容进行加密，并将加密信息写入视频文件的元数据中。加密过程使用对称加密算法（如 AES），加密密钥由密钥管理系统统一管理。

2. 许可证获取阶段

用户播放视频时，播放器首先向 DRM 许可证服务器发送许可证请求，请求中包含设备信息、用户身份认证信息和内容 ID。许可证服务器验证通过后，生成包含解密密钥的许可证并返回给播放器。

3. 安全播放阶段

播放器获取许可证后，使用其中的密钥解密视频内容。在安全级别较高的设备上，解密和解码过程在可信执行环境（TEE）中完成，即使系统被攻破也无法获取明文内容。

浏览器支持情况

桌面浏览器

• Chrome：支持 Widevine（通过 EME API）
• Firefox：支持 Widevine（通过 EME API）
• Safari：支持 FairPlay（通过 EME API）
• Edge：支持 Widevine 和 PlayReady

移动浏览器

• Chrome for Android：支持 Widevine L3/L1
• Safari on iOS：支持 FairPlay
• Android 原生浏览器：因厂商而异，通常支持 Widevine

集成方法：EME API

现代浏览器通过 EME（Encrypted Media Extensions，加密媒体扩展）API 提供 DRM 支持。EME 定义了一套标准的 JavaScript API，允许网页应用与 DRM 系统进行交互。

EME 核心 API

// 检测 DRM 支持情况
async function checkDRMSupport(keySystem) {
    const config = [{
        initDataTypes: ['cenc'],
        videoCapabilities: [{
            contentType: 'video/mp4;codecs="avc1.42E01E"'
        }]
    }];
    
    try {
        const access = await navigator.requestMediaKeySystemAccess(
            keySystem, 
            config
        );
        return true;
    } catch (e) {
        return false;
    }
}

// 检查 Widevine 支持
const widevineSupported = await checkDRMSupport(
    'com.widevine.alpha'
);

// 检查 FairPlay 支持
const fairplaySupported = await checkDRMSupport(
    'com.apple.fps.1_0'
);

使用 EME 播放 DRM 视频的完整流程

const video = document.getElementById('video');
const licenseUrl = 'https://drm.example.com/widevine/license';

async function setupDRM() {
    const keySystem = 'com.widevine.alpha';
    const config = [{
        initDataTypes: ['cenc'],
        videoCapabilities: [{
            contentType: 'video/mp4;codecs="avc1.42E01E"'
        }]
    }];

    const access = await navigator.requestMediaKeySystemAccess(
        keySystem, 
        config
    );
    
    const mediaKeys = await access.createMediaKeys();
    await video.setMediaKeys(mediaKeys);
    
    video.addEventListener('encrypted', handleEncrypted);
}

async function handleEncrypted(event) {
    const session = video.mediaKeys.createSession();
    session.addEventListener('message', (e) => {
        fetch(licenseUrl, {
            method: 'POST',
            body: e.message,
            headers: {
                'Content-Type': 'application/octet-stream'
            }
        }).then(response => response.arrayBuffer())
          .then(license => session.update(license));
    });
    
    await session.generateRequest(
        event.initDataType, 
        event.initData
    );
}

许可证服务器

许可证服务器是 DRM 系统的核心组件，负责验证用户权限并发放解密密钥。构建许可证服务器需要考虑以下几个方面：

许可证服务器的核心功能

• 身份认证：验证用户身份，确保只有授权用户能获取许可证
• 权限校验：检查用户是否有权观看该内容
• 密钥管理：安全存储和管理加密密钥
• 许可证签发：生成符合 DRM 规范的许可证
• 策略控制：控制播放有效期、设备数量、输出保护等
• 日志审计：记录许可证发放情况，便于统计和溯源

商业 vs 自建许可证服务器

你可以选择使用商业 DRM 服务（如 Castlabs、EZDRM、ExpressPlay 等），也可以自建许可证服务器。商业方案的优势是部署快、稳定性高、多 DRM 支持好；自建方案则可以更好地控制成本和数据安全。

加密打包流程

DRM 视频内容的加密打包是整个流程的第一步，通常使用专业的打包工具完成。

常用打包工具

• Shaka Packager：Google 开源的媒体打包工具，支持 Widevine
• Bento4：功能强大的 MP4 打包和处理工具
• FFmpeg + 加密模块：结合第三方加密模块
• 商业打包服务：如 Wowza、Elemental 等

Shaka Packager 加密示例

# 使用 Shaka Packager 加密 DASH 内容
packager \
  input=input.mp4,stream=video,output=video_enc.mp4 \
  input=input.mp4,stream=audio,output=audio_enc.mp4 \
  --enable_widevine_encryption \
  --key_server_url https://keyserver.example.com/ \
  --content_id "content-12345" \
  --signer "content-provider" \
  --aes_signing_key "abc123..." \
  --aes_signing_iv "def456..." \
  --mpd_output output.mpd

多 DRM 支持策略

为了覆盖所有平台，通常需要同时支持多种 DRM 系统。CENC（Common Encryption）标准允许使用相同的加密内容适配不同的 DRM 系统，只需在播放器端根据设备选择对应的 DRM 方案获取许可证即可。

最佳实践建议

1. 多 DRM 适配

不要只依赖单一 DRM 系统。建议使用 CENC 加密，同时支持 Widevine、FairPlay 和 PlayReady，以覆盖尽可能多的设备和浏览器。

2. 降级策略

对于不支持 DRM 的设备或浏览器，要有降级方案。可以使用 AES-128 加密的 HLS 作为备选，虽然安全性较低，但至少能提供基础保护。

3. 密钥安全

加密密钥是 DRM 的核心资产，必须妥善保管。建议使用专业的密钥管理服务（KMS），密钥绝不能以明文形式存储在客户端代码或配置文件中。

4. 用户体验

DRM 许可证获取过程应该对用户透明，避免过多的等待时间。可以预加载许可证，或在用户点击播放前提前获取，减少用户等待。

总结

DRM 是保护视频内容安全的重要技术手段。Widevine、FairPlay 和 PlayReady 三大系统各有侧重，分别主导不同的生态。通过 EME API，Web 应用可以在浏览器中实现安全的 DRM 视频播放。

在实际项目中，建议采用多 DRM 方案，结合 CENC 标准，用一套加密内容适配多种 DRM 系统。同时要做好降级策略，确保在不支持 DRM 的设备上也能提供基础的内容保护和播放体验。

如果你想了解更多关于 HLS 播放和视频加密的技术，可以查看我们的 HLS.js 使用指南，或直接使用我们的 M3U8 在线播放器 体验流媒体播放。