AWS S3 HTTPS下载超时求助：CloudFront配置后请求超时

核心问题分析 #

线上HTTPS页面请求HTTP的S3资源会触发混合内容拦截，必须用HTTPS访问资源；CloudFront超时大概率是源访问权限或配置错误导致的，以下是完整配置流程：

1. 修正CloudFront源配置（解决超时核心） #

• 进入CloudFront分发的源设置，确认源域选择的是S3桶的REST API域名（ofanymdev.s3.eu-west-1.amazonaws.com，不要选静态网站托管域名，除非你专门开启了该功能）。
• 开启源访问控制（OAI）：
  1. 点击“创建控制设置”，生成新的Origin Access Identity（OAI），命名后保存。
  2. 回到源设置，选择刚创建的OAI，确保“源访问”设置为“是，使用源访问控制设置”。
• 给OAI授权S3桶读取权限：
  进入S3桶的权限 > 桶策略，添加以下策略（替换XXXXXXXX为你的OAI ARN中的ID部分，ofanymdev为你的桶名）：

  {
    "Version": "2008-10-17",
    "Id": "PolicyForCloudFrontPrivateContent",
    "Statement": [
      {
        "Sid": "AllowCloudFrontOAI",
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity XXXXXXXX"
        },
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::ofanymdev/*"
      }
    ]
  }
  

2. 配置CloudFront行为规则（强制HTTPS） #

进入分发的行为设置，编辑默认行为：

• 查看器协议策略：选择“重定向HTTP到HTTPS”或“仅允许HTTPS”，确保所有访问都走HTTPS，彻底解决混合内容问题。
• 允许的HTTP方法：至少勾选GET、HEAD（适配fetch的GET请求），如果有其他需求可补充。
• 缓存策略使用默认的CachingOptimized即可，无需额外调整。

3. 调整S3桶的公共访问设置 #

进入S3桶的权限 > 阻止公共访问，开启“阻止所有公共访问”。因为已经通过OAI让CloudFront访问桶，关闭公共访问更安全，也避免权限冲突导致的访问异常。

4. 配置SSL证书（自定义域名可选） #

• 如果使用CloudFront默认域名（xxx.cloudfront.net）：AWS会自动提供免费SSL证书，无需额外配置。
• 如果使用自定义域名：
  1. 在**AWS Certificate Manager（ACM）**中申请SSL证书，注意证书必须部署在us-east-1区域（CloudFront仅识别该区域的ACM证书）。
  2. 回到CloudFront分发的设置 > 备用域名（CNAME），添加自定义域名，并关联刚申请的ACM证书。

5. 等待部署并测试 #

CloudFront分发更新后需要10-20分钟完成部署，状态变为“已部署”后：

• 直接访问CloudFront的HTTPS链接（如https://xxx.cloudfront.net/your-media-file.png），确认资源能正常加载。
• 将前端代码中所有S3资源的HTTP链接替换为CloudFront的HTTPS链接，测试fetch请求是否正常。

超时排查补充 #

如果仍出现超时，检查以下点：

• 确认S3桶的区域和CloudFront源域的区域一致（你的桶在eu-west-1，源域要对应）。
• 若S3桶关联了VPC端点，需在VPC端点的策略中添加允许CloudFront访问的规则。
• 检查CloudFront的错误页面设置，是否误配置了错误跳转导致超时。

内容的提问来源于stack exchange，提问作者Boris K