域名授权系统，这3种模式别选错

域名授权系统这个东西，选模式比写校验代码重要得多。三种常见做法——绑域名、绑机器指纹、在线校验——每一种都有必须付的代价，也都有它最舒服的场景。真正要命的是很多人上来先想怎么做最防盗版，而不是先想我的客户是什么网络环境、出了问题谁来接电话。模式选错，代码写得再漂亮也是天天救火。

域名授权系统的三种模式，先把地图铺开

说是三种，实际是三个层级。绑域名管的是这套程序在哪个站上跑，绑机器管的是装在哪台机器上，在线校验管的是什么时候还能不能跑。前两个是静态的，装完那一刻基本就定了；后一个是动态的，每次跑都要跟你的授权服务对一次暗号。理解这个区别，后面的取舍就顺了。

第一种，绑定域名

逻辑最直白。客户买了程序，把域名填进你的发码后台，后台按域名算出一串授权码给他，程序启动时拿当前访问的域名跟码里的信息对一下，对得上就跑。建站工具、CMS 插件、模板这类东西基本都是这么干的。

它的坑不在技术，在边角。www 和不带 www 算不算同一个？http 和 https 要不要区分？测试域名算不算数？二级域名要不要跟着主域名走？这些规则你在生成授权时怎么归一化，直接决定后面有多少工单。比较省事的做法是把主域名当根，允许它下面任意二级域名通过，只有换主域名才需要重新发码。听着宽松，但客户省心，你也少一半邮件往来。

什么时候别用它：客户自己都不确定最终用哪个域名，或者他要拿同一套东西铺好几个站的时候，绑域名会变成一个天天吵架的点。

第二种，绑定机器指纹

采一堆硬件信息拼成指纹，CPU 型号、主板、网卡 MAC、磁盘序列号，挑几样稳定的组合起来。客户机器上算一遍，跟授权码里存的比一下。好处是天然支持离线，内网、专网、完全不通外网的环境只能这么干，没别的选择。

但这个模式有个隐藏成本，就是变更。换块网卡、加块硬盘、虚拟机热迁移、云主机重装系统，指纹都可能变。客户第二天跑来说授权失效了，他还觉得自己什么都没动——从他那边看，确实什么都没动。

所以指纹要挑稳定项，别把 MAC 当唯一依据，虚拟化平台上 MAC 随手就能改，网卡型号也容易变。更稳的是主板和 CPU 相关的信息，再留几个容错位，比如五六项里对上四项就放行。松一点，售后少一点，代价是理论上能被凑，但那个成本已经高到很少有人愿意干了。

第三种，在线校验

程序启动时或者每隔一段时间，向你的授权服务发个请求，服务端判断这串授权还有效吗、有没有到期、并发数超没超。按年收费的、要远程停用的、要按坐席数控的，基本都得靠这个。

它最大的问题也很明显：你的授权服务成了单点。服务一挂，所有客户一起报错，电话能打爆。客户那边网络抖一下、防火墙拦一下、DNS 抽个风，效果是一样的。所以在线校验必须配降级方案：本地缓存上一次成功的结果，给一段宽限期，比如几天内连不上就当有效，超过再降级成只读或者提示联系客服。宽限期多长自己权衡，但一定要有，没有降级的在线校验就是给自己埋雷。

还有个细节，授权请求最好走独立的域名或者接口路径，别跟业务接口挤在一起。业务被人打挂的时候授权还活着，客户至少能正常用。

三种混着用行不行

行，而且这才是常态。常见组合是域名加在线校验，或者指纹加定期心跳。逻辑是让一个当主、一个当辅：主授权决定能不能跑，辅授权负责续期、停用、统计数量。别三样全上，一套系统里三种规则互相牵制，出问题时你自己都理不清是哪一层拦下来的，排查链路能从下午拖到半夜。

判断标准可以简化成一句话——你希望它失效的时候，用哪种代价最小。客户欠费要停，在线校验最干脆；客户赖着不付第二年的钱、程序还在本地跑，那就得靠绑机器或者绑域名。反过来，客户在完全断网的地方，所有在线方案都不成立。

授权服务器这台机器，别凑合

授权请求的特点是量不大但很集中，比如早上上班那波客户同时开机，或者你发个版本更新之后大家集中激活。它不需要多强的配置，一台普通的云主机、轻量服务器基本够用，关键是稳定和监控。把授权服务、业务数据库塞在同一台机器上，这台机器还兼职跑着别的活儿，是很常见的错误，出一次故障影响的是所有客户。

应急手段也得提前准备。授权服务真挂了，能不能手动给客户发一个临时离线码先顶住？这个流程最好写进文档，别等出事当天再临时想办法。

客户要换域名换服务器，这才是售后大头

授权系统上线之后你会发现，最多的工单不是授权失败，是我想换个域名、我想换台服务器。所以设计的时候就要留换绑的口子：后台支持一键改绑、限制一下次数、给出明确的等待时间。零容忍行不通，客户会直接跑掉；完全放开也不行，一套码到处用就没意义了。中间那个度，按你的客单价和客户类型定。

顺带扯一句安全

别指望靠授权系统挡住铁了心要破解的人，它的作用是把盗用成本抬到比付钱还高，顺便把正常客户和批量白嫖的分开。关键算法和用户数据放在你自己的服务端，客户端只留校验和调用，比在本地加十层混淆管用。真有人愿意花精力去逆向你的客户端，那说明你的产品已经有价值了。

自己写还是买现成的

量小的时候自己撸一个校验模块完全够，几十行代码的事。客户多了、要按年续费、要分代理商、要看出谁在用谁没用，自己维护这套后台就开始吃人力了。这时候可以看看市面上的授权管理服务，功能对比以各家官方页面说明为准，别只看演示视频。

上线前拿这五个问题过一遍：客户换域名的频率高不高、客户有没有外网、钱是一次性收还是按年收、授权服务平时谁盯、工单谁来回。答案清楚了，哪种模式当主哪种当辅基本就定了。至于剩下的细节——宽限期多长、容错留几位、换绑给几次——边跑边调，别指望一次设计到位。