摘要

  • RFC 9626 把帧边界、时间独立性、可丢弃性与可伸缩层级提取到加密负载之外，使 RTP 交换节点无需解密画面也能作出转发决策。
  • SRTP 能认证这些标记来自哪个对等方，并可选择加密扩展本身；它不能独立证明标记与加密负载相符，更不能证明接收端依赖完整、解码成功或用户看到了正确画面。
  • 完整收据必须连接协商与可见性政策、发送端提取依据、帧标记、交换节点决策、数据包交付、解码器状态和实际呈现。

一次视频会议降码率后，网络图表变得更漂亮：高层视频被及时丢弃，总带宽下降，通话没有断开。接收端却出现了冻结画面。

交换节点可以证明自己严格执行了 D 标记。它仍然无法回答冻结究竟来自错误标记、缺失依赖、后续丢包，还是错过播放期限。

RFC 9626 面对的就是这个结构性难题。现代会议常由中央 RTP 交换节点选择发言人、切换视频流，并在拥塞时减少转发层。端到端加密不应为了这些功能而把画面交给中继。于是，标准把少量、与编解码器无关的帧信息放进 RTP 头扩展。

它建立的是有限授权：交换节点可以知道怎样转发，却不必知道画面是什么。有限授权一旦被误读成完整事实，便利就会变成不可审计的信任。

四个短标记并不回答同一个问题

短格式包含 S、E、I、D。S 和 E 分别声明一层帧的首包与末包。I 声明该帧不依赖时间上更早的帧。D 声明发送端知道该帧可以被丢弃，剩余码流仍可解码。

长格式再加入 B、TID、LID 与 TL0PICIDX。TID 表示时间层，LID 表示空间层或质量层，TL0PICIDX 标注基础层图像或增强层所依赖的基础层图像。B 则表示非基础时间层可以在此与基础层同步。

这些字段刻意保持很小，所以每个字段都有不能越过的边界。I 只说明时间独立；一个空间增强层仍可能依赖同一时刻的低层。较高的 TID 或 LID 只表示相对层级，并不直接给出绝对帧率、分辨率、码率或所有显式依赖。TL0PICIDX 的零值本身有效，缺省可能意味着不适用，也可能意味着发送端不知道计数器。

B 更能暴露证据来源。RFC 明确指出，H.264 与 H.265 的简单负载头检查未必能可靠判断它，实施可能必须调用编解码器内部接口。因此，交换节点看到的一个比特，背后可能是不可见的实现状态和版本依赖。

“必须与负载相符”是义务，不是自证

RFC 9626 要求头扩展值必须代表 RTP 负载中已经存在的事实。VP8、VP9、H.264、H.265 都有相应映射规则；未来编解码器的负载规范也应定义 TID 和 LID 的映射。

这条要求建立互操作义务，却没有产生一台独立验真机。

在发送端，测试系统可以在加密之前把负载描述符或编解码器内部信号与标记逐一比较。到了只持有密文的交换节点，它通常无法重新打开负载验证 I 是否真是独立帧、D 是否真能安全丢弃。如果映射代码写错、内部状态过期，或者新版编码器改变了信号含义，头扩展仍可能准确地携带一个错误结论。

SRTP 认证很容易让人高估证据。认证可以证明受信对等方提供了这些比特，也可以发现未经授权的篡改。它不能把发送端声明升级为编解码事实的独立观察。来源真实与内容正确必须分开验证。

因此，发布测试不能只检查扩展是否存在。它应覆盖反例：非独立帧被标为 I、引用帧被标为 D、切换点缺少必要空间层、层级索引无解释跳变、帧边界与时间戳或标记位矛盾，以及内部接口不可用时 B 的退化行为。

丢弃与切换只关闭决策问题

当拥塞迫使交换节点减少转发时，RFC 建议优先丢弃 D 帧，或丢弃最高的时间层和空间/质量层。切换到新视频流时，则建议从所有空间层都出现 I 的第一个切换点开始。

这些规则合理，但它们依赖的只是发送端描述。D 并不知道接收端此刻保存了哪些参考帧，也不知道此前是否已经丢包。跨层 I 提供合格入口，却不能保证入口所需的每个数据包都在播放期限前到达。

RFC 9627 的 Layer Refresh Request 可以请求提升到更高层，FIR 也可以要求新的完整刷新点。请求被发出，只证明控制意图存在。还需要发送端动作、网络交付、接收端解码与呈现证据，才能证明恢复完成。

运营收据至少应分四段：交换节点收到什么经过认证的标记；它为什么转发、丢弃或切换；接收端的依赖与解码状态怎样变化；最终画面是否按时呈现。把“交换节点按规则执行”写成“视频成功交付”，就是借用了后一层尚未提供的权威。

加密扩展决定谁能看见行为

RFC 9626 还要求端点作出一项明确的隐私选择。SRTP 头扩展既受认证，也可以加密。如果标记只需要让作为 SRTP 对等方的 RTP 交换节点读取，就可以加密扩展；路径上的其他中间节点看不到它。

若运营者希望其他中间节点也利用标记优化丢包，就可以让扩展保持明文。代价是可靠暴露关键帧、层级和帧边界的时间。即使没有明文标记，观察者也可能从包长统计推测关键帧，因为关键帧往往更大。但 RFC 正确地区分了概率推断与明确、可靠的信号。

因此，“视频内容已加密”不等于“视频行为不可观察”。画面像素可以保密，活动节奏与层级变化仍可能成为稳定遥测。谁能读取、保存多久、可用于何种优化，必须和像素内容一样进入隐私评审。

RFC 9335 给出了完整加密 RTP 头扩展与贡献源的机制，RFC 8871 描述私密媒体会议框架。机制不能替代政策。协商方向、SRTP 对等关系、扩展加密与日志保留仍需要明确责任人。

会话内编号不是永久语义

扩展 URI urn:ietf:params:rtp-hdrext:framemarking 通过 RFC 8285 的 extmap 机制协商，并在会话中获得本地编号。该编号可以在不同会话中变化，扩展方向也可以在会话更新时变化。

所以，单独保存数据包还不够。离开对应的 offer/answer 记录，同一个数字没有可移植语义。交换节点若根据未协商、已停用或重新映射的扩展作出决定，即使比特排列看起来熟悉，也不能证明它遵守了 RFC 9626。

RFC 9628 把 VP9 的可伸缩结构接到同一层级语言上。新编解码器会继续扩展映射。每次编码器或 SFU 升级都可能改变从负载事实到标记、再到转发决策的链条，必须把它们视为联合发布面，而不是彼此独立的软件更新。

Sources