如何使用CloudFront实现媒体文件下载及多文件批量获取？

1. Lambda生成限时CloudFront预签名URL的可行性 #

完全可行，这是CloudFront安全分发私有媒体文件的标准方案，具体实现步骤如下：

• 前置准备：

  • 配置指向S3桶的CloudFront分发，建议使用**Origin Access Control (OAC)**替代旧的OAI，提升安全性
  • 创建CloudFront密钥对（需保存私钥用于URL签名，公钥上传至CloudFront）
  • Lambda执行角色需具备访问CloudFront密钥的权限（推荐将私钥存储在Secrets Manager，避免硬编码）

• Lambda实现逻辑：

  1. 从Secrets Manager获取CloudFront私钥
  2. 使用AWS SDK（如Node.js的@aws-sdk/cloudfront-signer）生成预签名URL：
     • 指定CloudFront分发域名
     • 目标媒体文件的路径（需与S3对象键一致，例如/1234-5678-1234.jpg）
     • 设置过期时间（n分钟）
     • 用CloudFront私钥和密钥对ID完成签名
  3. 将预签名URL通过API Gateway返回给客户端

• 安全注意事项：

  • 设置较短的过期时间（5-15分钟），降低URL泄露后的风险
  • 生成URL前需验证请求用户的权限：检查Cognito身份凭证，确认该用户有权访问对应媒体文件（通过DynamoDB查询聊天记录关联的imageId）

2. 单预签名URL批量获取多文件的方案 #

CloudFront预签名URL本身仅支持单个对象访问，可通过以下两种方式实现批量下载：

方案一：Lambda按需生成ZIP压缩包 #

• 流程：
  1. 客户端向API Gateway提交包含多个文件ID的请求
  2. Lambda从S3获取所有指定文件
  3. 在Lambda中创建包含所有文件的ZIP压缩包
  4. 将ZIP包上传至S3临时目录（或直接流式生成预签名URL）
  5. 为该ZIP包生成CloudFront预签名URL并返回给客户端
• 注意点：
  • Lambda存在内存和执行时间限制，适合处理中小型文件（总大小建议控制在几百MB以内）
  • 配置S3生命周期规则，自动清理过期的临时ZIP文件

方案二：使用CloudFront签名Cookie实现批量访问 #

• 流程：
  1. 不生成单个预签名URL，而是生成一个签名Cookie，授予对特定前缀或多个文件路径的访问权限
  2. 客户端接收Cookie后，可直接通过CloudFront访问所有允许的文件，无需额外签名URL
• 配置步骤：
  • 在CloudFront分发中启用签名Cookie支持（使用与预签名URL相同的密钥对）
  • Lambda中生成签名Cookie，指定允许访问的文件路径列表（或前缀，如/user-xxx/chat-media/）及过期时间
  • 将Cookie通过响应头返回给客户端
• 优势：
  • 客户端可并行批量下载多个文件，无需逐个请求URL
  • 一次授权即可访问多个资源，提升用户体验
• 注意点：
  • Cookie受域名限制，需确保CloudFront域名与客户端域名匹配（或使用通配符）
  • 生成Cookie前需验证用户对所有目标文件的访问权限

内容的提问来源于stack exchange，提问作者iZner