3招搞定做视频添加字幕的网站，免费工具避坑指南
网站被黑挂马，后台全是乱码弹窗，你急得满头汗却不知从何下手？别慌，这种“网站被黑挂马不知道怎么办”的噩梦，往往源于基础配置太弱或依赖了不安全的插件。很多新手站长在搭建类似“做视频添加字幕的网站”这类功能站时，为了省事全用免费工具，结果引入了大量漏洞。今天我不讲虚的，直接拆解一套从需求到部署的实操流程，用低成本、高安全的方案，帮你把站建起来，同时把安全底线守住。
需求分析：别为了做视频添加字幕的网站而做
很多江苏地区的中小企业主或开发者，一上来就想做一个“做视频添加字幕的网站”，觉得只要用户能传视频、能加字幕、能下载就行。这想法太天真了。视频处理是重资源消耗，字幕生成涉及OCR（光学字符识别）或ASR（语音转文字），算力成本极高。如果直接用免费的开源组件硬堆，服务器CPU瞬间飙满，响应慢得像蜗牛，用户体验极差，更别提安全风险了。
我们要明确边界：这是一个“工具型”网站，不是“内容型”网站。核心职责是处理文件和返回结果，而不是存储海量用户数据。因此，技术选型必须轻量、隔离性好。我见过太多案例，因为文件上传接口没做严格限制，导致黑客通过上传恶意PHP木马，直接拿走了整站数据。所以，在做需求分析时，必须把“文件类型白名单”、“执行权限隔离”、“临时文件自动清理”列为最高优先级，而不是只盯着UI好看。
对于江苏的站长来说，还要注意合规性。如果你的站点面向国内用户，必须完成工信部ICP备案系统的备案。没备案的站点，随时可能被运营商拦截，之前的SEO努力全部白费。别等流量起来了才想起备案，那是亡羊补牢。
环境准备：搭建安全且低成本的底层
工欲善其事，必先利其器。我们要搭建一个既能跑视频处理脚本，又不会拖垮服务器的环境。这里推荐 Nginx + PHP 8.2 + FFmpeg 的组合。为什么选 PHP？因为生态丰富，且有大量的免费工具库可以调用，比如 FFmpeg 的 PHP 封装类。
服务器配置建议：2核4G起步。视频转码和字幕提取非常吃内存，1G内存根本不够跑。磁盘建议选 SSD，读写速度直接影响处理效率。
关键步骤：安装 FFmpeg FFmpeg 是视频处理的“瑞士军刀”，做视频添加字幕的网站离不开它。
# Ubuntu/Debian 系统安装 FFmpeg
sudo apt update
sudo apt install ffmpeg -y# 验证安装是否成功
ffmpeg -version
关键步骤：配置 PHP 扩展
确保 PHP 安装了 gd（用于图像处理，虽主要做视频，但封面图需要）、fileinfo（用于检测真实文件类型，防止伪装扩展名）和 exec 函数权限（用于调用 FFmpeg 命令）。
; php.ini 配置示例
extension=fileinfo
; 如果安全要求极高，建议不要直接开放 exec，而是通过自定义脚本封装执行逻辑
安全加固：Nginx 配置
这是防黑的关键。视频上传目录必须禁止 PHP 解析。很多新手把上传目录和网站根目录混在一起，导致黑客上传一个 shell.php 就能执行。
server {listen 80;server_name your-domain.com;root /var/www/html;index index.php;# 关键安全配置：禁止在 upload 目录解析 PHPlocation /uploads/ {deny all; # 直接拒绝访问，如果需要展示，改用别名try_files $uri @fallback;}# 正确的做法：将上传目录放在 Web 根目录之外location /static/videos/ {alias /var/www/data/videos/;# 禁止 PHP 执行php_flag engine off; }
}
记住，工信部ICP备案系统要求的备案主体信息必须与域名解析一致，但在技术层面，这种目录隔离是防挂马的第一道防火墙。
核心步骤：从上传到字幕生成的逻辑流
做视频添加字幕的网站，核心流程分为四步：上传、预处理、生成字幕、下载。这里我们采用“异步处理”模式，避免用户在前端等待过久。
1. 前端上传接口 使用 AJAX 上传，限制文件大小和类型。
2. 后端接收与校验
这是最容易被忽视的环节。很多免费工具提供的上传组件只检查扩展名，黑客把 .php 改名为 .mp4 就能混进去。我们必须用 mime_content_type() 检测真实类型。
3. 调用 FFmpeg 生成字幕 FFmpeg 可以提取音频流，然后使用 ASR 引擎（如 Whisper.cpp 的轻量版或云端 API）生成 SRT 字幕。为了控制成本，我们可以先只提取音频，让用户选择是否开启 AI 字幕，或者支持手动上传 SRT 文件进行合并。
4. 合并视频与字幕
使用 FFmpeg 的 subtitles 滤镜将 SRT 文件烧录进视频，或者生成带字幕的 MP4 文件。
5. 返回结果 处理完成后，生成一个临时下载链接，设置 10 分钟过期，过期后自动删除源文件和处理后的文件，防止服务器被占满。
代码/配置示例：可运行的核心逻辑
下面给出两段核心代码，一段是 PHP 后端处理逻辑，一段是 FFmpeg 命令封装。
1. PHP 后端处理脚本 (process_video.php)
这段代码展示了如何安全地接收文件，调用 FFmpeg 生成字幕，并清理临时文件。
<?php
/*** 视频字幕处理核心脚本* 注意：此脚本应放在 Web 根目录之外，通过 Nginx 反向代理或内部转发调用*/// 1. 配置常量
define('MAX_FILE_SIZE', 50 * 1024 * 1024); // 50MB 限制
define('UPLOAD_DIR', '/var/www/data/tmp/');
define('OUTPUT_DIR', '/var/www/data/output/');// 2. 安全初始化
session_start();
if (!isset($_SESSION['csrf_token'])) {$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}// 3. 接收上传文件
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['video'])) {$file = $_FILES['video'];// 检查错误if ($file['error'] !== UPLOAD_ERR_OK) {die('Upload error: ' . $file['error']);}// 检查大小if ($file['size'] > MAX_FILE_SIZE) {die('File too large');}// **关键安全点**：验证真实 MIME 类型$mime = mime_content_type($file['tmp_name']);$allowed_mimes = ['video/mp4', 'video/avi', 'video/mov'];if (!in_array($mime, $allowed_mimes)) {die('Invalid file type');}// 生成唯一文件名，防止覆盖$unique_name = uniqid('video_') . '.mp4';$dest_path = UPLOAD_DIR . $unique_name;if (!move_uploaded_file($file['tmp_name'], $dest_path)) {die('Move failed');}// 4. 调用 FFmpeg 生成字幕 (这里简化为提取音频，实际需接入 ASR)// 假设我们有一个 shell 脚本 generate_srt.sh 来处理音频到文本$audio_path = UPLOAD_DIR . $unique_name . '.wav';$srt_path = UPLOAD_DIR . $unique_name . '.srt';// 执行命令，使用 escapeshellarg 防止命令注入$cmd = 'ffmpeg -i ' . escapeshellarg($dest_path) . ' -vn -acodec pcm_s16le -ac 1 -ar 16000 ' . escapeshellarg($audio_path) . ' -y 2>&1';exec($cmd, $output, $return_var);if ($return_var !== 0) {// 清理失败文件unlink($dest_path);die('FFmpeg processing failed: ' . implode("\n", $output));}// 这里省略了具体的 ASR 调用逻辑，假设 SRT 已生成// 5. 合并视频与字幕$final_video = OUTPUT_DIR . $unique_name . '_subtitled.mp4';$merge_cmd = 'ffmpeg -i ' . escapeshellarg($dest_path) . ' -vf subtitles=' . escapeshellarg($srt_path) . ' -c:a copy ' . escapeshellarg($final_video) . ' -y 2>&1';exec($merge_cmd, $merge_output, $merge_var);if ($merge_var === 0) {// 返回 JSON 结果echo json_encode(['status' => 'success','url' => '/static/videos/' . $unique_name . '_subtitled.mp4','expires' => time() + 600 // 10分钟]);} else {echo json_encode(['status' => 'error', 'message' => 'Merge failed']);}// 6. 异步清理逻辑 (实际生产环境建议使用 Cron Job 或 Queue)// 这里为了演示，简单记录日志，由定时任务清理file_put_contents(UPLOAD_DIR . 'cleanup_log.txt', $dest_path . " " . time() . "\n", FILE_APPEND);
}
?>
2. Nginx 内部转发配置
为了防止直接访问敏感脚本，我们使用 Nginx 的内部指令 internal。
# 在 server 块中添加
location /api/process {internal; # 只能内部调用，外部直接访问返回 404fastcgi_pass unix:/run/php/php8.2-fpm.sock;fastcgi_index process_video.php;fastcgi_param SCRIPT_FILENAME $document_root/api/process_video.php;include fastcgi_params;
}# 前端 AJAX 请求 /upload，由 PHP 内部调用 /api/process
location /upload {try_files $uri @php;
}location @php {fastcgi_pass unix:/run/php/php8.2-fpm.sock;fastcgi_index index.php;fastcgi_param SCRIPT_FILENAME $document_root/upload_handler.php;include fastcgi_params;
}
通过这种配置，即使黑客知道了处理脚本的路径，也无法直接通过 URL 访问它，必须经过前端入口的验证，大大降低了攻击面。
常见报错：踩坑实录与解决方案
在实战中，做视频添加字幕的网站最容易遇到以下三个坑，尤其是使用免费工具时，文档缺失，全靠猜。
1. "No such file or directory" 错误
这通常不是文件不存在，而是权限问题。PHP 运行用户（通常是 www-data）对 /var/www/data/tmp/ 目录没有写权限。
- 解决：执行
chown -R www-data:www-data /var/www/data/，并确保目录权限为 755，文件为 644。
2. FFmpeg 命令执行超时
默认 PHP 的 max_execution_time 是 30 秒，处理一个 100MB 的视频，30 秒根本不够。
- 解决：在调用
exec()前，临时设置set_time_limit(300);（5分钟）。更好的做法是使用队列系统（如 Redis + PHP Worker）将任务放入后台异步处理，前端通过轮询或 WebSocket 获取状态。
3. 字幕乱码 SRT 文件编码问题。FFmpeg 默认处理 UTF-8，但很多老旧播放器或生成的字幕是 GBK 编码。
- 解决：在生成 SRT 时，确保指定
-c:s utf8。如果是手动上传的 SRT，先在 PHP 中检测编码，如果是 GBK，使用mb_convert_encoding转换为 UTF-8 后再传给 FFmpeg。
4. 服务器内存溢出 (OOM Killer) 视频处理过程中，FFmpeg 会占用大量内存。如果并发用户多，服务器会被 OOM Killer 杀掉进程。
- 解决：限制并发处理数。使用
sem（信号量）或 Redis 锁，限制同时只能有 1-2 个视频在处理任务。对于高并发场景，必须上分布式任务队列。
小结：安全与效率的平衡
做视频添加字幕的网站，看似简单，实则涉及文件安全、性能优化、合规备案等多个维度。对于江苏的站长来说，利用本地优质的服务器资源（如电信/联通双线节点），结合免费工具中的 FFmpeg 和开源 PHP 框架，完全可以搭建出一个稳定、安全的站点。
核心要点回顾：
- 目录隔离：上传目录与 Web 根目录物理分离，禁止 PHP 解析。
- 类型校验：双重校验扩展名和 MIME 类型，防止恶意文件上传。
- 异步处理：视频处理必须异步，避免阻塞 Web 请求。
- 合规备案：务必在工信部ICP备案系统完成备案，确保站点合法合规。
- 资源清理：建立自动清理机制，防止磁盘写满导致站点瘫痪。
网站被黑挂马，往往不是因为你的技术多烂，而是因为忽略了最基础的防御细节。用这套流程，你可以把风险降到最低。
你踩过哪些建站的坑？评论区交流
