咨询Java环境下Amazon S3上传文件大小限制的有效方案

一、修正S3桶策略（优先推荐） #

你之前的桶策略用了Allow+NumericLessThanEquals，但这种方式存在两个核心问题：

1. 如果后端使用的IAM角色已拥有s3:PutObject权限，桶策略的Allow条件无法覆盖IAM的允许权限，导致大小限制失效；
2. s3:content-length条件依赖请求携带Content-Length头且使用SigV4签名，部分上传场景（如表单上传）可能不满足该前提。

正确的桶策略应该使用Deny效果，当文件大小超过10MB时直接拒绝上传：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::aws-bucket-springboot-microservice/*",
            "Condition": {
                "NumericGreaterThan": {
                    "s3:content-length": "10485760"
                }
            }
        }
    ]
}

注：10MB对应的字节数为10*1024*1024=10485760，需确保数值准确。

二、Java后端前置校验（最直接的拦截） #

在请求到达S3之前，先在Java后端完成大小校验，避免无效请求发送到云端：

1. Spring Boot全局配置 #

如果用Spring Boot处理文件上传，直接在配置文件中设置全局限制：

# 单个文件最大大小
spring.servlet.multipart.max-file-size=10MB
# 单次请求总大小限制
spring.servlet.multipart.max-request-size=10MB

2. 代码手动校验 #

如果是自定义上传逻辑（如接收字节流、直接调用S3 SDK上传），可手动判断文件大小：

import org.springframework.web.multipart.MultipartFile;
import java.io.IOException;

public void uploadFile(MultipartFile file) throws IOException {
    long maxAllowedSize = 10 * 1024 * 1024; // 10MB
    if (file.getSize() > maxAllowedSize) {
        throw new IllegalArgumentException("文件大小不能超过10MB");
    }
    // 后续S3上传逻辑
}

三、预签名URL绑定大小限制（适用于前端直传场景） #

如果是后端生成预签名URL给前端直接上传到S3，可以在生成URL时强制绑定文件大小，确保上传的文件与约定大小完全匹配：

import software.amazon.awssdk.services.s3.S3Client;
import software.amazon.awssdk.services.s3.model.PutObjectRequest;
import software.amazon.awssdk.services.s3.presigner.S3Presigner;
import software.amazon.awssdk.services.s3.presigner.model.PutObjectPresignRequest;
import java.time.Duration;

public String generatePresignedUploadUrl(String bucketName, String objectKey, long fileSize) {
    try (S3Presigner presigner = S3Presigner.create()) {
        PutObjectRequest putRequest = PutObjectRequest.builder()
                .bucket(bucketName)
                .key(objectKey)
                .contentLength(fileSize) // 绑定文件大小
                .build();

        PutObjectPresignRequest presignRequest = PutObjectPresignRequest.builder()
                .signatureDuration(Duration.ofMinutes(10)) // URL有效期
                .putObjectRequest(putRequest)
                .build();

        return presigner.presignPutObject(presignRequest).url().toString();
    }
}

前端拿到URL后，必须上传大小完全匹配的文件，否则S3会直接拒绝请求。

四、事后校验（兜底方案） #

如果以上方法无法覆盖所有上传场景，可以用AWS Lambda实现上传后的兜底校验：

1. 配置S3桶的事件通知，当有新对象上传时触发Lambda；
2. Lambda中读取文件大小，超过10MB则删除对象并记录告警。

Java版Lambda核心逻辑示例：

import software.amazon.awssdk.services.s3.S3Client;
import software.amazon.awssdk.services.s3.model.DeleteObjectRequest;
import software.amazon.awssdk.services.s3.model.HeadObjectRequest;
import software.amazon.awssdk.services.s3.model.HeadObjectResponse;

public class S3SizeCheckLambda {
    private final S3Client s3Client = S3Client.create();
    private final long MAX_ALLOWED_SIZE = 10 * 1024 * 1024;

    public void handleUploadEvent(String bucketName, String objectKey) {
        HeadObjectResponse objectMeta = s3Client.headObject(HeadObjectRequest.builder()
                .bucket(bucketName)
                .key(objectKey)
                .build());

        if (objectMeta.contentLength() > MAX_ALLOWED_SIZE) {
            s3Client.deleteObject(DeleteObjectRequest.builder()
                    .bucket(bucketName)
                    .key(objectKey)
                    .build());
            // 此处可添加告警逻辑，例如推送日志到监控系统
        }
    }
}

内容的提问来源于stack exchange，提问作者nhaemcotivi_1999