深度測試：外站播放器能否被 iframe 嵌入

這頁是「我們的站」，外框（頂列、標題、下方資訊卡）都是我們的；只有黑色播放區塊是外站內容。

判讀重點：如果你能接受黑色區塊裡呈現的東西（畫質、廣告、外站品牌露出、UI），A 案就成立。若看到的是空白或「拒絕連線」，代表對方有 X-Frame-Options / CSP frame-ancestors，A 案直接死。

LIVE · 房間 5038716 · 漢堡 vs 門興格拉德巴赫

載入失敗：此頁可能禁止被嵌入。

嵌入目標m.page.jmpoq.cn/#/player?id=5038716

X-Frame-Options無

Content-Security-Policy無

本機時間 (UTC)—

對照組：同一條 m3u8 直連（自有播放器，B／C 案的基礎）

這格完全沒碰官方播放器：bf.xinxigsj.cn 直接發 m3u8 給 hls.js，靠 CORS * 成立。

需要你判斷的四件事

廣告：區塊內有沒有外站自己的廣告、跑馬燈、下載 APP 提示？
品牌露出：有沒有「勁球直播」字樣或 logo？訪客會不會知道這不是我們的站？
UI 完整度：聊天室、禮物、登入按鈕是否都在，且能操作？
手機版：下方有手機預覽，看它縮到 390px 時是否還正常。

取源證據（2026-11-06 20:19Z 實測）

GET /live/5038716.m3u8?txSecret=…&txTime=6aee2c60   → 200
  txTime 已過期      2543 秒（42 分鐘）仍 200
  Referer 拿掉       200
  Origin: evil.example 200 + ACAO 回彈該 Origin
  .ts 切片不帶 query 200（4.0 MB / 4.16s）
  播放頁 X-Frame-Options: 無 · CSP: 無

對應漏洞

V1 游客即取源：房間頁明文 m3u8，匿名簽名
V2 簽名不失效：過期 42 分鐘照樣播（可長期盜連）
V3 切片無鑑權：.ts 直抓、無需 token
V4 無防盜鏈：無 Referer／Origin 白名單
V5 CORS 回彈任意 Origin：任何站都能二次分發
V6 無 XFO／CSP：任何站都能 iframe

A 案成立靠 V6＋V1；B／C 案靠 V1–V5。