直接回答
将凭证保存在客户端受保护的凭证字段或秘密存储中，而不是复制的 URL 中。 使用唯一的仅供查看的帐户，并在工作 URI 暴露时轮换该帐户。
为什么会发生这种情况
嵌入 URI 中的用户信息可以通过 shell 历史记录、进程参数、日志、崩溃报告、屏幕截图和粘贴的票证来捕获。 保留字符也会使解析变得脆弱。
保持摄像头服务的私密性，最大限度地减少凭证暴露并记录每个信任边界。
受控测试
仅在您管理的系统中搜索已知帐户名称或已清理的模式，然后根据策略删除或轮换暴露的机密。
一次更改一个变量。 记录相机型号、固件、终端、账号； 然后将网络可达性、协议响应、媒体传输和解码作为单独的层进行测试。
使用专用的仅供查看的帐户和值得信赖的本地诊断工具。 在共享输出之前编辑凭证、私人地址和识别数据。
诊断顺序
| 查看 | 行动 | 进展的证据 |
|---|---|---|
| 客户 | 在支持的情况下将凭据移出 URI。 | 保存的端点不包含可重复使用的密码。 |
| 特权 | 使用专用的仅供查看的帐户。 | 流凭证无法更改设备设置。 |
| 遥测 | 查看日志、历史记录和诊断。 | 敏感字段在导出前经过编辑。 |
| 旋转 | 确认暴露后更换凭证。 | 旧的 URL 不再进行身份验证。 |
保留证据
记录泄漏位置和轮换时间，而无需将秘密复制到事件记录中。
边界和安全说明
即使相机暂时无法访问，也不要将私有相机 URL 上传到公共流测试器或 AI 工具。
对于远程查看，请使用托管 VPN，而不是将 RTSP 或摄像机管理端口直接暴露到公共互联网。
SmartRTSP
SmartRTSP 是一款以相机为中心的 RTSP 和 ONVIF 查看器，适用于 Apple 设备、Windows 和 Android。 适合直接观看、发现和多机位检查； 当需要连续记录、证据导出或集中企业控制时，保留专用的 NVR 或 VMS。
常见问题
rtsp://user:pass@host 安全吗？
它受到客户的广泛认可，但增加了日志、历史记录和复制文本的暴露风险。
如果查看者需要嵌入密码怎么办？
使用唯一的最低权限帐户并将 URI 保存在受保护的配置存储中。
分享屏幕截图后是否应该旋转？
如果屏幕截图包含可用的凭据或令牌，请旋转它并查看共享图像的位置。
主要参考文献
相关 SmartRTSP 指南
打开相关指南在共享流之前，通过日志、浏览器历史记录、进程列表、屏幕截图和支持工具追踪摄像机密码。