能否为AWS CloudFront生成读写分离的签名URL？

完全可以实现分别生成仅读取和仅写入的签名URL，核心是通过自定义签名策略结合CloudFront缓存行为来做权限区分，哪怕只用@aws-sdk/cloudfront-signer的getSignedUrl函数也能搞定。

具体实现步骤： #

1. 配置CloudFront缓存行为区分读写路径

   • 给你的CloudFront分发创建两个缓存行为：
     • 一个绑定读取类路径（比如/assets/*），仅转发GET/HEAD请求到源站
     • 另一个绑定写入类路径（比如/uploads/*），转发PUT/POST等写入请求到源站
   • 两个缓存行为都要关联CloudFront密钥组，确保签名URL能被验证。

2. 用getSignedUrl生成带权限限制的签名URL
   getSignedUrl支持传入自定义的Policy参数，通过Policy可以精确限制允许的HTTP方法、资源路径和有效期：

   生成仅读取的签名URL

   import { getSignedUrl } from "@aws-sdk/cloudfront-signer";
   
   // 定义读权限策略：仅允许GET/HEAD方法，指定资源路径和有效期
   const readAccessPolicy = {
     Statement: [
       {
         Resource: "https://your-cf-domain.com/assets/your-image.jpg",
         Condition: {
           DateLessThan: { "AWS:EpochTime": Math.floor(Date.now() / 1000) + 3600 }, // 1小时有效期
           HttpMethod: ["GET", "HEAD"]
         }
       }
     ]
   };
   
   const readSignedUrl = getSignedUrl({
     url: "https://your-cf-domain.com/assets/your-image.jpg",
     keyPairId: "YOUR_CLOUDFRONT_KEY_PAIR_ID",
     privateKey: "YOUR_CLOUDFRONT_PRIVATE_KEY",
     policy: JSON.stringify(readAccessPolicy)
   });
   

   生成仅写入的签名URL

   // 定义写权限策略：仅允许PUT方法，指定上传路径和有效期
   const writeAccessPolicy = {
     Statement: [
       {
         Resource: "https://your-cf-domain.com/uploads/your-new-file.jpg",
         Condition: {
           DateLessThan: { "AWS:EpochTime": Math.floor(Date.now() / 1000) + 3600 },
           HttpMethod: ["PUT"]
         }
       }
     ]
   };
   
   const writeSignedUrl = getSignedUrl({
     url: "https://your-cf-domain.com/uploads/your-new-file.jpg",
     keyPairId: "YOUR_CLOUDFRONT_KEY_PAIR_ID",
     privateKey: "YOUR_CLOUDFRONT_PRIVATE_KEY",
     policy: JSON.stringify(writeAccessPolicy)
   });
   

3. 额外注意事项

   • 确保源站（比如S3）的权限和CloudFront的配置匹配：比如写入路径对应的S3桶要允许PUT操作，并且CloudFront缓存行为要正确转发对应的HTTP方法
   • 密钥组必须关联到对应的缓存行为，否则CloudFront会拒绝签名URL的请求
   • 可以根据需求扩展Policy，比如添加IP地址限制、更精细的路径匹配规则等

内容的提问来源于stack exchange，提问作者Raj Chaudhary