视频点播提供了凭证和STS两种客户端授权方案，保障上传与播放安全，防止数据泄露。本文对比两种方案，帮助根据业务需求选择合适方案。
凭证方式：凭证方式是视频点播提供的专用授权方案，集成服务端授权逻辑，通过简单API生成单次上传/播放临时凭证。深度集成SDK，开箱即用，简化客户端开发成本。包含了上传凭证和播放凭证。
STS方式：STS（Security Token Service）是阿里云通用临时授权方案。通过STS服务颁发自定义时效和权限的临时身份，支持访问点播及其他云服务，适用于复杂业务场景和精细化权限管理，详情请参见获取STS Token。
方案对比
凭证方式是视频点播推荐使用的上传、播放授权方式，相比STS方式优势如下：
对比项 | 核心机制 | 实现流程 | 安全性 | 灵活性 | 易用性 |
凭证方式 | 由VOD服务端API（如CreateUploadVideo）生成一次性时效凭证，内部封装了临时授权信息。 |
| 默认提供单次单对象授权，授权粒度为单视频维度。 | 支持回调地址、播放域名等参数配置。 | 配置简便，仅需账号AccessKey授权点播权限即可。 |
STS方式 | 调用STS API获取时效性临时凭证。 |
| 权限粒度较粗，在点播上是API维度，允许无限次上传或播放账号下所有视频。 | 需等待SDK版本更新，新增功能会有延迟。 | 配置复杂，角色与授权策略配置较为繁琐。 |
方案选型
场景示例一：单纯点播上传/播放需求
对于希望快速集成，不关心底层细节的点播项目，推荐使用凭证方式。
选型理由：开箱即用，深度集成官方SDK，服务端轻量化，无需管理复杂的权限策略。
场景示例二：希望简化服务端逻辑需求
对于服务端开发投入有限，希望最大程度简化服务端逻辑的项目，推荐使用凭证方式。
选型理由：视频点播服务端已封装好大部分安全逻辑，开发者只需调用API生成凭证即可。
常见问题
如何配置更安全的STS授权策略
STS是阿里云高安全级基础服务，安全性取决于授权策略（Policy）的严谨性，需遵循最小权限原则。通过精细化配置可提供更强安全保障，详情请参见获取STS Token。
凭证的有效期是多久
上传凭证的有效期默认为3000秒，过期后需调用RefreshUploadVideo重新获取上传凭证。
播放凭证有效期可通过GetVideoPlayAuth的
AuthInfoTimeout参数自定义（默认100秒），建议设置较短时间以提升安全性。