如何不依赖Amazon Cognito使用Android S3 TransferUtility实现断点续传？

首先纠正你的一个误解：预签名URL并非完全不能实现断点续传——它支持S3的分段上传（Multipart Upload），但你需要自己手动处理「初始化分段上传、上传单个分片、记录已上传分片、网络恢复后重试未完成分片、完成/终止分段上传」全流程，逻辑繁琐容易出错，这也是TransferUtility封装好的优势所在。

回到你的核心需求：不用Cognito，安全使用TransferUtility实现断点续传，完全可行，核心方案是通过STS生成仅针对单个S3对象的临时受限凭证，具体如下：

• STS并非只能生成角色级别的宽泛权限，你可以在调用STS生成临时凭证时，通过自定义权限策略，将权限严格限制到单个S3对象，甚至只允许分段上传相关的操作。
• 实现步骤：
  1. 后端服务调用STS的AssumeRole接口（推荐，相比GetFederationToken配额更宽松），传入自定义的权限策略，比如只允许对your-bucket/your-target-object-key执行分段上传相关操作：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": [
             "s3:CreateMultipartUpload",
             "s3:UploadPart",
             "s3:CompleteMultipartUpload",
             "s3:AbortMultipartUpload",
             "s3:GetObject"
           ],
           "Resource": "arn:aws:s3:::your-bucket/your-target-object-key"
         }
       ]
     }
     

  2. 后端将STS返回的临时凭证（AccessKeyId、SecretAccessKey、SessionToken）传递给Android客户端。
  3. Android端用这些临时凭证初始化AmazonS3Client，再创建TransferUtility，之后就可以用TransferUtility的断点续传能力上传文件了。

这种方案的优势：

• 无需迁移用户到Cognito，复用现有后端鉴权流程。
• 临时凭证权限严格限制到单个对象，避免越权操作，安全性有保障。
• 完全利用TransferUtility封装好的断点续传、进度监听、重试逻辑，不用自己造轮子。

内容的提问来源于stack exchange，提问作者Petra Barus