如何通过Header/Cookie/参数等（如Bearer Token）控制S3文件访问权限？

安全阿岳

2026-6-25

S3存储桶文件访问权限限制方案（仅允许持专属Token的用户访问）

以下是几种可行的实现方案，覆盖不同场景和需求：

1. S3原生预签名URL（Presigned URLs）

这是最直接的原生方案，利用S3的签名机制生成带Token的专属访问链接：

核心逻辑：为每个文件生成唯一的预签名URL，URL中包含自动生成的签名（即专属Token），同时可设置过期时间。用户必须使用该URL才能访问对应文件，S3会自动校验签名的有效性。
实现步骤：
- 先关闭S3存储桶的公开访问权限，确保默认情况下文件无法被直接访问。
- 使用AWS SDK（如boto3、AWS CLI）为目标文件生成预签名URL，示例代码（Python）：
```
import boto3
s3 = boto3.client('s3')
# 生成有效期1小时的预签名URL
url = s3.generate_presigned_url(
    'get_object',
    Params={'Bucket': 'your-bucket-name', 'Key': 'target-file.jpg'},
    ExpiresIn=3600
)
```
- 将生成的URL分发给授权用户，用户访问时S3会自动验证签名，过期或篡改的URL会被拒绝。
适用场景：临时访问需求（如一次性下载链接），无需额外服务依赖，实现成本低。
局限性：Token（签名）直接包含在URL中，转发链接会导致权限泄露，无法支持Header/Cookie形式的Token。

适合需要更灵活Token形式、高并发缓存的场景，通过CloudFront作为中间层实现访问控制：

核心逻辑：将S3作为CloudFront的源站，通过CloudFront的签名URL/签名Cookie做基础验证，或结合Lambda@Edge实现自定义Token校验逻辑。
实现步骤：
- 创建CloudFront分发，配置源指向目标S3存储桶，并启用Origin Access Identity（OAI），同时调整S3 Bucket Policy，仅允许CloudFront的OAI访问，禁止直接访问S3。
- 方案A（原生签名）：配置CloudFront使用签名URL或签名Cookie，为每个文件生成对应的签名（Token），用户需携带签名才能通过CloudFront访问。
- 方案B（自定义Token校验）：部署Lambda@Edge函数到CloudFront的Viewer Request阶段，函数提取请求中的Token（Header、Cookie或查询参数），调用外部服务（如数据库、Redis）校验Token与文件的匹配性，校验通过则放行，否则返回403。
适用场景：需要支持Cookie/Header形式Token、高并发访问、需要缓存加速的场景（如视频、静态资源分发）。
优势：支持多种Token传递方式，可结合自定义业务逻辑做校验，同时利用CloudFront的全球节点提升访问速度。

完全自定义Token校验逻辑，适合需要复杂业务规则的场景：

核心逻辑：将S3的访问路径封装到API Gateway之后，用户通过API Gateway端点访问文件，Lambda函数负责前置Token校验，校验通过后再从S3获取文件返回给用户。
实现步骤：
- 关闭S3存储桶的公开访问，为Lambda函数配置访问S3的GetObject权限。
- 创建API Gateway REST API，定义对应文件路径的资源和GET方法，将方法集成到Lambda函数。
- 编写Lambda函数：
  1. 从请求中提取Token（查询参数、Header或Cookie）。
  2. 校验Token的有效性（如查询数据库中该文件绑定的有效Token，验证Token是否未过期、与文件匹配）。
  3. 校验通过则调用S3的GetObject接口获取文件，将文件内容返回给API Gateway；校验失败则返回403状态码。
适用场景：需要自定义Token规则（如Token与用户身份绑定、多维度校验）、需要记录访问日志或额外业务处理的场景。
优势：完全掌控Token校验逻辑，可灵活扩展业务规则；局限性是相比CloudFront，性能略低，且需要维护API Gateway和Lambda资源。

如果已有内部认证系统，可通过反向代理实现访问控制：

核心逻辑：部署一个反向代理服务，用户请求先经过代理，代理校验请求中的Token（任意形式），确认有效后再将请求转发到S3，否则拒绝。
实现步骤：
- 关闭S3公开访问，仅允许反向代理服务的IP或IAM角色访问。
- 代理服务接收用户请求后，提取Token并与后端存储的文件-Token映射关系做校验。
- 校验通过后，代理服务以自身权限访问S3获取文件，返回给用户；校验失败则返回403。
适用场景：已有成熟认证系统，希望复用现有Token体系的场景。

内容的提问来源于stack exchange，提问作者MathKimRobin