1.3 KiB
网络安全
Header 与会话隔离
每次 load 都覆盖 http-header-fields，不共享上一个 session 的 header、Cookie 或 URL。禁止把认证信息写入仓库、默认日志或诊断快照。Playback Lab 输入框可以编辑 header，但诊断默认只显示字段名和掩码值。
脱敏规则
Authorization、Proxy-Authorization、Cookie、X-Api-Key、X-Emby-Token、X-Auth-Token、X-Access-Token 及 token/api-key/signature 等认证头，以及 URL 中的 token、access_token、auth、key、api_key、apikey、auth_token、signature、x-amz-signature、sig、expires 参数在错误文本和日志中替换为 [REDACTED]。原始 mpv 日志不得直接写入 OH 日志。
TLS、重定向与凭证
默认保持 tls-verify=yes。mpv 网络后端负责 TLS、重定向、Range 和 HLS；本层不复制 HTTP 行为。固定的 FFmpeg-Harmony 分支 f3a036c695 已在 libavformat/http.c 实现跨 origin（协议/host/port 任一变化）重定向时丢弃自定义 Authorization/Cookie/Token/API-key/Referer 等敏感头及 cookie 状态，同源重定向仍保留请求头；因此不会把凭证无条件转发到不同 host。Referer、User-Agent、header 仅属于当前加载请求。
实现依据：mpv 官方手册的 user-agent、referrer、cookies、http-header-fields、network-timeout、HLS 与 sub-add 选项说明。