Icecast 配置参数详解

Icecast 2.5.0 icecast.xml 全量逐段详解：location/limits/authentication（含 2.5 role 模型与 deny-all 截断实测）/listen-socket/http-headers/master 与 relay/mount（max-listeners 503、fallback 抢线）/fileserve/paths/logging（logarchive 轮转实测）/security（prng-seed），关键项改值+生效验证闭环。

IcecastIcecast流媒体网络电台音频流媒体2026/10/28

Icecast 配置参数详解

目标：把 Icecast 2.5.0 的主配置文件 icecast.xml 按官方结构逐段讲透——location/admin/hostname 站点信息、limits 限额、authentication 认证（含 2.5 新 role 模型）、listen-socket、http-headers、master server settings 与 relay、mount 挂载点（含挂载级认证与 fallback 回退）、fileserve、paths、logging、security。每个关键项都给出「改值 → 生效 → 验证回显」的真实闭环，全部命令与输出为 2026-10-28 在 Ubuntu 24.04 服务器上的逐行实测照抄（测试环境搭建见《Icecast Docker Compose 部署实战》，背景知识见《Icecast 介绍与选型指南》）。

一、配置文件全貌与生效方式

Icecast 的全部行为由一份 XML 文件决定。本部署中配置文件位于 /etc/icecast2/icecast.xml（宿主机路径 /opt/data/quzuo/tmp/icecast/compose/etc/icecast.xml，绑定挂载，改完直接在宿主机编辑即可）。

改动生效有三条通道（2.5 均实测可用）：

通道命令适用面
重启进程systemctl restart icecast2监听端口增删等结构性改动，听众会断线
热重载systemctl reload icecast2（即 kill -HUP）站点信息、limits、mount、http-headers、logging 等大部分配置
admin 接口curl -u admin:密码 http://localhost:8142/admin/reloadconfig同热重载，可远程触发

热重载的日志回显（逐行实测）：

[2026-10-28  14:05:17] INFO slave/_slave_thread Reloading config for reload was queued
[2026-10-28  14:05:17] INFO CONFIG/_parse_paths File "/usr/share/icecast/report-db.xml" added to report xml database
[2026-10-28  14:05:17] INFO connection/get_tls_certificate No TLS capability on any configured ports

本篇使用的全量配置定稿如下（注释保留，后续各章逐段详解）：

<?xml version="1.0" encoding="UTF-8"?>
<icecast>
    <!-- 站点信息：展示在状态页，admin 必须是可联系邮箱 -->
    <location>Shanghai, CN</location>
    <admin>station-master@quzuo-lab.cn</admin>
    <!-- 本机对外主机名：用于生成 listenurl / 播放列表 / YP 登记，生产必须填真实 FQDN -->
    <hostname>radio.quzuo-lab.cn</hostname>

    <limits>
        <clients>200</clients>
        <sources>4</sources>
        <queue-size>524288</queue-size>
        <client-timeout>30</client-timeout>
        <header-timeout>15</header-timeout>
        <source-timeout>10</source-timeout>
        <burst-size>131072</burst-size>
    </limits>

    <authentication>
        <source-password>q1w2e3r4</source-password>
        <relay-password>q1w2e3r4</relay-password>
        <admin-user>admin</admin-user>
        <admin-password>q1w2e3r4</admin-password>
    </authentication>

    <!-- SHOUTcast v1 兼容源使用的默认挂载点（按需启用）
    <shoutcast-mount>/live.nsv</shoutcast-mount>
    -->

    <!-- 把公开电台登记到 Xiph 官方电台目录 dir.xiph.org（按需启用）
    <yp-directory url="https://dir.xiph.org/cgi-bin/yp-cgi">
        <option name="timeout" value="15" />
    </yp-directory>
    -->

    <listen-socket>
        <port>8000</port>
    </listen-socket>
    <listen-socket>
        <port>8001</port>
        <bind-address>0.0.0.0</bind-address>
    </listen-socket>
    <!-- TLS 监听示例（证书在 security/tls-context 配置）
    <listen-socket>
        <port>8443</port>
        <tls>auto_no_plain</tls>
    </listen-socket>
    -->

    <!-- 全局响应头：type="cors" 自动处理跨域预检；自定义头原样下发 -->
    <http-headers>
        <header type="cors" name="Access-Control-Allow-Origin" value="*" />
        <header name="X-Quzuo-Lab" value="icecast-250-demo" />
    </http-headers>

    <!-- master server settings：整站主从模式（本机作为 slave 向上游同步全部频道，按需启用）
    <master-server>upstream.example.org</master-server>
    <master-server-port>8000</master-server-port>
    <master-update-interval>120</master-update-interval>
    <master-password>hackme</master-password>
    -->
    <!-- 无 <relay> 定义时把所有中继默认置为按需回源，默认 false
    <relays-on-demand>true</relays-on-demand>
    -->

    <!-- 单频道中继示例（实测见本专栏[《Icecast 常用命令与运维实战》](https://www.quzuo.net/document/jFo4w5nYOZZl)）
    <relay>
        <local-mount>/stream</local-mount>
        <on-demand>false</on-demand>
        <upstream type="normal">
            <server>icecast-node1</server>
            <port>8000</port>
            <mount>/stream</mount>
            <username>relay</username>
            <password>q1w2e3r4</password>
        </upstream>
    </relay>
    -->

    <!-- 主频道 /stream：常规广播挂载 -->
    <mount type="normal">
        <mount-name>/stream</mount-name>
        <max-listeners>50</max-listeners>
        <burst-size>131072</burst-size>
        <hidden>false</hidden>
        <public>false</public>
    </mount>

    <!-- DJ 直播频道 /live：挂载级认证（role 制）+ 限 1 听众（演示用）+ 断流回退到 /stream -->
    <mount type="normal">
        <mount-name>/live</mount-name>
        <max-listeners>1</max-listeners>
        <fallback-mount>/stream</fallback-mount>
        <fallback-override>all</fallback-override>
        <fallback-when-full>0</fallback-when-full>
        <authentication>
            <role type="static" allow-method="source,put" deny-web="*" allow-admin="*">
                <option name="username" value="dj" />
                <option name="password" value="q1w2e3r4" />
            </role>
            <role type="static" allow-method="get,post,head,options" deny-web="*" allow-admin="*">
                <option name="username" value="admin" />
                <option name="password" value="q1w2e3r4" />
            </role>
            <role type="anonymous" match-method="source,put" deny-all="*" />
            <role type="anonymous" match-method="get,post,head,options" allow-web="*" deny-admin="*" />
        </authentication>
    </mount>

    <!-- 静态文件服务：关闭后 webroot 下 css/图片等不再可直接下载 -->
    <fileserve>1</fileserve>

    <paths>
        <logdir>/var/log/icecast2</logdir>
        <webroot>/usr/share/icecast/web</webroot>
        <adminroot>/usr/share/icecast/admin</adminroot>
        <reportxmldb>/usr/share/icecast/report-db.xml</reportxmldb>
        <!-- <pidfile>/run/icecast/icecast.pid</pidfile> -->
        <alias source="/" destination="/status.xsl"/>
    </paths>

    <logging>
        <accesslog>access.log</accesslog>
        <errorlog>error.log</errorlog>
        <!-- <playlistlog>playlist.log</playlistlog> -->
        <loglevel>information</loglevel>
        <logsize>10000</logsize>
        <logarchive>true</logarchive>
    </logging>

    <security>
        <chroot>false</chroot>
        <!-- 以 root 启动时降权到指定用户（本部署由 systemd User= 降权，二者取一即可）
        <changeowner>
            <user>icecast</user>
            <group>icecast</group>
        </changeowner>
        -->
        <!-- 2.5 必配：PRNG 熵源，linux profile 自动含 /dev/urandom 与 /proc 接口 -->
        <prng-seed type="profile">linux</prng-seed>
        <!--
        <tls-context>
            <tls-certificate>/etc/icecast2/icecast.pem</tls-certificate>
        </tls-context>
        -->
    </security>
</icecast>

二、站点信息段：location / admin / hostname

这三个字符串不改变任何协议行为，但对「别人怎么看你的电台」至关重要。

参数作用生产建议
<location>电台所在地，展示在状态页与 YP 目录填真实地区，如 Shanghai, CN
<admin>管理员联系方式，展示在状态页官方强调：若要登记 YP 目录，这里必须是可联系的真实邮箱
<hostname>本机对外主机名填对外 FQDN，详见下方注意

⚠️ hostname 注意：官方默认配置注释原文强调——hostname 是「别的客户端用来连接本服务器的主机名」，主要影响 Icecast 生成的 URL（listenurl、播放列表）与 YP 目录登记，YP 登记必须正确配置 hostname 才能工作；它不是你的主页地址。配成 localhost 时，管理页给出的收听链接外网全部打不开。

改值验证（把 CN / admin@icecast.local / icecast.local 改为定稿值并 restart）后，启动日志直接回显三件套（逐行实测）：

[2026-10-28  14:02:36] INFO main/__log_system_name From configuration: Our hostname is "radio.quzuo-lab.cn", located "Shanghai, CN", with admin contact "station-master@quzuo-lab.cn"

stats 接口同步反映：

$ curl -s -u admin:q1w2e3r4 http://localhost:8142/admin/stats | grep -oE '<host>[^<]+|<location>[^<]+|<admin>[^<]+'
<admin>station-master@quzuo-lab.cn
<host>radio.quzuo-lab.cn
<location>Shanghai, CN

一个 2.5 的实测细节：stats 里的 listenurl 会优先按请求的 Host 头生成——

$ curl -s -u admin:q1w2e3r4 -H 'Host: radio.quzuo-lab.cn:8000' http://localhost:8142/admin/stats | grep -oE '<listenurl>[^<]+'
<listenurl>http://radio.quzuo-lab.cn:8000/stream</listenurl>

同一接口不带 Host 头访问 localhost:8142 时得到的是 http://localhost:8142/stream。这对反代场景是好消息，但也说明 hostname 必须与对外地址一致，否则 YP 登记与无 Host 场景生成的链接就是错的。

三、limits 限额段

limits 段控制全局并发与缓冲水位，逐项说明：

参数含义定稿值说明
clients全局最大客户端数（含听众、admin、stats 连接等一切连接）200打满后新连接被拒
sources全局最大同时在线源数4决定能同时推几路节目
queue-size每路源的排队缓冲（字节）524288慢听众容忍度，拖满则听众被踢
client-timeout客户端无数据超时（秒）30拉流长连接不受此限
header-timeout读请求头超时（秒）15防慢速攻击
source-timeout源无数据超时（秒）10源卡死超过该值被断开
burst-size新听众接入时的预缓冲发放量（字节）131072全局默认，mount 可覆盖

sources 超限实测（限额为 2 时，两路源在线再推第三路）：

ffmpeg 端：Error opening output files: Server returned 5XX Server Error reply
error.log：[2026-10-28  13:58:11] WARN connection/connection_complete_source Request to add source when maximum source limit reached 2
access.log：10.89.59.20 - source [28/Oct/2026:13:58:11 +0000] "PUT /extra HTTP/1.1" 503 719 "-" "Lavf/60.16.100" 0

burst-size 对照实测（同一 128 kbps 流，curl 拉流 2 秒计量）：

burst-size=65535（默认）:  2s recv 92400 B
burst-size=131072（定稿）: 2s recv 158200 B

读法：158200 − 92400 ≈ 64 KB，恰为两次 burst 之差，证明预缓冲按配置发放。burst 的意义是让播放器的解码缓冲瞬间填满、消除「开台前几秒静音/卡顿」；码率越高、听众越多，burst 对出向瞬时带宽的冲击越大，高码率频道建议按「1~2 秒码流」估算取值。

四、authentication 认证段

4.1 全局四件套

<authentication>
    <source-password>q1w2e3r4</source-password>
    <relay-password>q1w2e3r4</relay-password>
    <admin-user>admin</admin-user>
    <admin-password>q1w2e3r4</admin-password>
</authentication>
参数用途默认用户名
source-password推流源认证source
relay-password下游中继从本机拉流认证relay
admin-user / admin-passwordWeb 管理面与 /admin API自定

4.2 2.5 的 role 认证模型（重要行为变化）

2.5 内部把上述 legacy 凭据转换成 role（角色）对象，stats 里能看到：legacy-admin、legacy-relay、legacy-global-source、anonymous。挂载点可用 <authentication> 自定义 role 列表（见第八章）。

💡 技术拓展：legacy 与 role 认证模型的关键差异——

维度2.4 及以前（legacy）2.5（role 制）
全局 source 密码挂载点写了 username/password 就覆盖全局全局 legacy-global-source role 对所有挂载点始终有效，挂载级 role 是增量
挂载点独占认证直接写挂载级密码即可需在挂载 role 列表末尾加 <role type="anonymous" match-method="source,put" deny-all="*" /> 截断回落
监听端认证htpasswd / urlstatic / htpasswd / url / anonymous，role 可叠加

实测依据：只给 /live 配 dj 静态 role 时，全局 source:q1w2e3r4 仍能推 /live（error.log 显示其以 legacy-global-source 角色登录）；补上 deny-all 后同样的推流返回 401。

另外两个与认证相关的全局开关（默认注释掉）：

  • <shoutcast-mount>/live.nsv</shoutcast-mount>：启用 SHOUTcast v1 兼容模式时，SHOUTcast 源推流落到哪个挂载点；
  • <yp-directory url="https://dir.xiph.org/cgi-bin/yp-cgi">：把公开电台登记到 Xiph 官方目录（需配合 mount 的 public 与正确的 hostname/admin）。

五、listen-socket 监听段

每个 <listen-socket> 声明一个监听口，可声明多个：

<listen-socket>
    <port>8000</port>
</listen-socket>
<listen-socket>
    <port>8001</port>
    <bind-address>0.0.0.0</bind-address>
</listen-socket>
  • port：监听端口；bind-address：只绑定指定网卡地址（多网卡隔离管理面/业务面时用）；
  • tls（可选）：auto_no_plain 表示该口只收 TLS，证书在 security/tls-context 配置；
  • 子标签 <shoutcast-mount>：把该口变成 SHOUTcast v1 兼容口。

生效验证（双端口就绪，实例内实测）：

$ ss -ltn | grep -E '8000|8001'
LISTEN 0      5            0.0.0.0:8000       0.0.0.0:*
LISTEN 0      5            0.0.0.0:8001       0.0.0.0:*
$ curl -s -o /dev/null -w '%{http_code}\n' --max-time 2 http://localhost:8144/stream
200

⚠️ 监听端口的增删属于结构性改动，热重载不一定可靠接管新 socket，生产上改 listen-socket 建议直接 systemctl restart。

六、http-headers 响应头段

<http-headers>
    <header type="cors" name="Access-Control-Allow-Origin" value="*" />
    <header name="X-Quzuo-Lab" value="icecast-250-demo" />
</http-headers>
  • type="cors"：该头参与 CORS 机制——只在请求带 Origin 时下发，并自动应答 OPTIONS 预检；不配 value 时按请求 Origin 回显；
  • 无 type 的普通头：原样附加到每个 HTTP 响应。

生效验证（逐行实测）：

$ curl -sI -H 'Origin: https://player.example.org' http://localhost:8142/status.xsl | grep -iE 'access-control|x-quzuo'
Access-Control-Allow-Origin: *
X-Quzuo-Lab: icecast-250-demo
$ curl -s -X OPTIONS -H 'Origin: https://player.example.org' -H 'Access-Control-Request-Method: GET' -D - -o /dev/null http://localhost:8142/stream | head -3
HTTP/1.1 204 No Content
Server: Icecast 2.5.0
Access-Control-Allow-Origin: *

注意不带 Origin 的请求看不到 Access-Control-Allow-Origin（cors 型头的预期行为），网页播放器跨域嵌入 /status-json.xsl 取「正在播放」数据靠的就是它。

七、master server settings 与 relay 中继段

中继（relay）让一台 Icecast 从上游 Icecast 拉流再分发，是广播 CDN 与多机房分发的基础。2.5 支持两种粒度：

① 整站主从（master server settings，slave 侧配置）：

<master-server>upstream.example.org</master-server>
<master-server-port>8000</master-server-port>
<master-update-interval>120</master-update-interval>
<master-password>hackme</master-password>

配上后本机成为 slave：每 master-update-interval 秒向 master 索取在线挂载清单，把 master 的全部频道中继到本机同名挂载点，认证用 master 的 relay 密码。适合「全量复制一台电台」的场景。

② 单频道中继（<relay> 块，推荐新式 upstream 写法）：

<relay>
    <local-mount>/stream</local-mount>
    <on-demand>false</on-demand>
    <upstream type="normal">
        <server>icecast-node1</server>
        <port>8000</port>
        <mount>/stream</mount>
        <username>relay</username>
        <password>q1w2e3r4</password>
    </upstream>
</relay>
字段说明
local-mount中继流在本机落地的挂载点（可与上游不同名）
on-demandfalse=常驻拉流；true=有听众才回源，省带宽但首开有延迟
upstream（可多个）上游清单，type="normal" 为候选上游、type="default" 提供公共默认值；每个上游可写 uri 全路径或 server/port/mount 分项，附 relay 凭据
<relays-on-demand>全局开关：把未显式定义的 relay 默认置为按需模式

⚠️ 2.4 风格的旧式 <relay><server>…<mount>… 平铺写法在 2.5.0 上实测仍可工作（兼容保留），但官方示例已全面转向 upstream 结构，新部署请直接用新式。relay 的搭建、主端视角验证与排障实录见《Icecast 常用命令与运维实战》第四章。

八、mount 挂载点段（核心）

8.1 mount 参数总览

<mount type="normal"> 定义单个挂载点的覆盖配置；<mount type="default"> 定义所有未显式配置挂载点的默认值。常用子项：

参数含义备注
mount-name挂载点路径，如 /livenormal 型必填
max-listeners该挂载听众上限超限新听众 503
burst-size覆盖全局 burst见第三章测量
fallback-mount断流时听众迁移目标见 8.3
fallback-override源恢复时是否把听众抢回新式取值 all
fallback-when-full挂载满员时也走 fallback默认 0
intro听众接入先播的片头文件需与流同格式
hidden状态页隐藏该挂载统计仍可见
public是否允许 YP 登记配合 yp-directory
charset非 Ogg 流元数据字符集默认 Latin1 假设
max-listener-duration听众最长连接秒数到时重连
dump-file把这路流录制落盘到指定文件调试/存档用
authentication挂载级认证 role 列表见 8.4
http-headers挂载级响应头（覆盖全局）同第六章语法

8.2 max-listeners 实测

/live 配置 max-listeners=1。第一路听众正常收听时，第二路接入：

$ curl -s -w '\n%{http_code}\n' --max-time 3 http://localhost:8142/live
<?xml version="1.0"?>
<report ...><text>Maximum listeners reached for this source</text></state></incident></report>
503

8.3 fallback 回落实测

/live 配置 fallback-mount=/stream + fallback-override=all。一名听众挂在 /live 上时把 DJ 推流杀掉：

error.log：[2026-10-28  14:11:12] INFO source/source_move_clients passing 1 listeners from "/live" to "/stream"
听众端 curl 持续接收数据不断线（12 秒窗口实测收 250600 B）
stats：/live listeners=0，/stream listeners=1

fallback-override=all 还决定了「DJ 重新上线时把 /stream 的听众自动拉回 /live」——DJ 推流接入瞬间日志出现 passing N listeners from "/stream" to "/live"，这就是电台「直播抢线」的机制实现。

⚠️ 版本兼容提示：fallback-override 的旧式数字写法在 2.5 已标记过时，热重载时会打警告——WARN CONFIG/config_str_to_fallback_override_t Old style fallback override setting. Please replace "1" with "all". 请直接使用 all。

💡 技术拓展：mount 回退机制（fallback 链）——fallback-mount 可以串成链（/live → /stream → /backup），Icecast 在源断开时把听众沿链迁移，配合 fallback-override 实现「高优先级源恢复后自动抢回听众」。另外若 webroot 下存在与挂载点同名的静态文件（如 /usr/share/icecast/web/stream），Icecast 会把它当作「文件级回退」内容发放；找不到时启动日志会有一条无害提示：WARN source/source_fallback_file unable to open file "/usr/share/icecast/web/stream"。

8.4 挂载级认证（role 制）实测

/live 的认证块四个 role 逐行讲：

<role type="static" allow-method="source,put" deny-web="*" allow-admin="*">
    <option name="username" value="dj" />
    <option name="password" value="q1w2e3r4" />
</role>

静态账号 role：只允许 SOURCE/PUT 方法用 dj:q1w2e3r4 通过（推流专用），deny-web 禁止它进 Web 页面，allow-admin 允许它对本挂载做管理操作。

<role type="static" allow-method="get,post,head,options" deny-web="*" allow-admin="*">
    <option name="username" value="admin" /><option name="password" value="q1w2e3r4" />
</role>

管理员 role：GET 系列方法用 admin 账号做挂载级管理（killsource 等）。

<role type="anonymous" match-method="source,put" deny-all="*" />

截断 role：匿名匹配全部推流方法并整体拒绝——它的真正作用是截断向全局 role 的回落，让 /live 只认 dj（见 4.2 的实测差异）。

<role type="anonymous" match-method="get,post,head,options" allow-web="*" deny-admin="*" />

听众 role：匿名放行收听（公共电台不需要听众登录），但禁止匿名者碰管理操作。

三方实测闭环：

ffmpeg 以 source:q1w2e3r4 推 /live → Server returned 401 Unauthorized
ffmpeg 以 dj:q1w2e3r4 推 /live    → 正常推流（error.log 记录登录成功）
curl 匿名收听 /live               → HTTP 200

⚠️ 写法细节：static role 匹配方法用 allow-method，anonymous role 用 match-method，二者不可混写（混写会导致 role 匹配落空、表现为「密码正确也 401」）；官方示例中 static role 的密码选项存在 passwod 拼写笔误，正确项为 password。

九、fileserve 与 paths 段

9.1 fileserve

<fileserve>1</fileserve> 开启后，webroot 下的静态文件（状态页引用的 css/图片、自定义页面）可直接 HTTP 下载；关闭后只剩 XSL 页面与流。实测：

$ curl -s -o /dev/null -w '%{http_code} %{size_download}B\n' http://localhost:8142/assets/css/style.css
200 7882B
$ curl -s -o /dev/null -w '%{http_code} %{size_download}B\n' http://localhost:8142/favicon.ico
200 1406B

9.2 paths

参数含义
logdir日志目录（logrotate 配合见运维篇）
webroot静态文件与公开 XSL 页面根目录
adminroot/admin 管理页 XSL 根目录（改 admin 皮肤换这里）
reportxmldb2.5 的错误报告模板库（404/503 等 report XML 的数据源）
pidfile可选，写 PID 文件
alias路径别名/重定向，如 / → /status.xsl

alias 生效实测：

$ curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' http://localhost:8142/
302 http://localhost:8142/status.xsl

十、logging 日志段

<logging>
    <accesslog>access.log</accesslog>
    <errorlog>error.log</errorlog>
    <loglevel>information</loglevel>
    <logsize>10000</logsize>
    <logarchive>true</logarchive>
</logging>
  • accesslog / errorlog / playlistlog：三个日志文件名（相对 logdir）；playlistlog 记录每次元数据更新（可用于「播出单」回溯）；
  • loglevel：2.5 推荐名称写法 debug / information / warning / error；旧版数字 1–4 仍兼容（4=debug，部署篇初始配置即用 <loglevel>4</loglevel>）。debug 档日志量巨大（每个 stats 变更都落行），仅限排障临时开启；
  • logsize：单文件体积上限（KB），超限触发轮转；
  • logarchive：true 时轮转保留为带时间戳的历史文件，false 时覆盖为 .log.old。

轮转实测（临时把 logsize 调成 80 KB 并 reload，触发真实轮转）：

$ ls -l log/
-rw-r--r-- 1 997 crontab   143 Oct 28 22:13 error.log
-rw-r--r-- 1 997 crontab 86902 Oct 28 22:12 error.log.20261028_141300

error.log.20261028_141300 即 logarchive=true 的时间戳归档产物（验证后已把 logsize 调回 10000）。

十一、security 安全段

<security>
    <chroot>false</chroot>
    <prng-seed type="profile">linux</prng-seed>
</security>
  • chroot：把进程囚进 paths/basedir 指定的根（开启后 logdir 等路径全部按新根解释，调试困难，一般用 systemd 沙箱替代）；
  • changeowner：以 root 启动时降权到指定用户/组。本部署由 systemd 单元的 User=icecast 直接降权，二者取一即可；验证进程属主（ps aux 可见 icecast 以 icecast 用户运行）；
  • prng-seed（2.5 新增，强烈建议配置）：伪随机数发生器熵源。四种写法——
type写法场景
profile<prng-seed type="profile">linux</prng-seed>首选，linux profile 含 /dev/urandom 与 /proc 接口
read-write<prng-seed type="read-write" size="1024">/var/lib/icecast/prng-seed</prng-seed>种子文件，Icecast 会回写更新
device<prng-seed type="device" size="32">/dev/urandom</dev></prng-seed>无 profile 的系统
static静态字符串（≥64 字符，须保密勤换）兜底，安全性最低

不配时的启动告警（部署篇初始配置实测）与配置后的消失对比：

配置前：[2026-10-28  13:56:44] WARN CONFIG/_parse_root Warning, no PRNG seed configured, falling back to libigloo defaults.
配置后：启动日志不再出现该 WARN
  • tls-context：TLS 证书（PEM），与 listen-socket 的 tls 属性配套；本文实验用明文 HTTP，生产对外服务应配置。

另外一个安全相关实测点：icecast.xml 内含明文密码，若文件全局可读，2.5 启动会打 EROR util/util_test_file_modes File "/etc/icecast2/icecast.xml" has world read permission...——生产环境 chmod 640 并归属 icecast 用户。

十二、小结

本篇把 icecast.xml 全段过了一遍并全部做了生效验证：站点三件套（hostname 影响 listenurl/YP）、limits（sources 超限 503、burst 对照测量）、认证（2.5 role 模型 + deny-all 截断回落）、双 listen-socket、cors 响应头、master/relay 中继两种粒度、mount 的 max-listeners 503 与 fallback 抢线、fileserve 静态服务、logsize/logarchive 时间戳轮转、security 的 prng-seed 与降权。落地运维操作（热重载、admin API、relay 搭建、日志分析、备份升级）见《Icecast 常用命令与运维实战》。