如何通过AWS S3与CloudFront限制特定用户访问S3对象？

方案1：用CloudFront Signed Cookies传递用户身份 #

• 放弃URL嵌入用户ID的方式，改用Signed Cookies携带用户身份标识。Cookie可被浏览器缓存，不会破坏文件URL唯一性，保证缓存正常生效。
• Viewer Request Lambda直接从签名Cookie中解析用户ID，避免URL篡改风险（Cookie经过签名，无法伪造）。
• 权限验证优化：
  1. 后端生成Signed Cookie时，提前将用户ID与项目ID的关联关系存入缓存（如Redis）并设置合理过期时间。
  2. Lambda获取用户ID后直接查询缓存，无需先获取S3对象头再查项目信息，大幅减少请求链路耗时。

方案2：OIDC身份验证+对象元数据联动 #

• 开启CloudFront的OIDC身份验证，用户通过身份提供商（如Cognito）获取ID Token，访问时自动携带Token。
• Viewer Request Lambda解析Token得到用户ID，再通过Origin Request Lambda获取S3对象的项目ID元数据——Origin Request阶段可直接读取对象元数据，且不影响浏览器缓存（缓存键仍为原URL）。
• 验证逻辑：用用户ID和项目ID查询权限缓存，未命中时再查DynamoDB并更新缓存。

方案3：加密短令牌简化验证链路 #

• 后端生成CloudFront签名URL时，将文件项目ID、用户ID、权限状态打包成加密短令牌，作为查询参数附加到URL（如?token=xxx）。
• 令牌采用对称加密（如AES），密钥存在Lambda环境变量中。Viewer Request Lambda解密令牌即可获取验证所需信息，无需额外调用S3或DynamoDB。
• 注意：给令牌设置合理过期时间，避免长期有效带来安全风险；URL核心路径不变，不影响浏览器缓存。

通用性能优化点 #

• 将权限数据缓存到Lambda@Edge本地缓存（利用/tmp目录），同时结合ElastiCache Redis做全局缓存，减少跨区域请求耗时。
• 尽量在Viewer Request阶段减少外部调用，必要时将部分验证逻辑转移到Origin Request阶段（不影响用户侧缓存）。

内容的提问来源于stack exchange，提问作者misantronic