我来分享下在这类场景下的实践经验，帮你理清各个方案的优劣和容易踩的坑点：

一、CloudWatch Events（EventBridge）+ CloudTrail的过滤问题 #

你遇到的*通配符失效问题确实是因为CloudTrail事件里的key字段是精确匹配逻辑，而*本身是S3对象键的合法字符，系统会把它当成字面量去匹配，自然无法实现通配效果。

好在EventBridge现在支持内容过滤功能，你用prefix的方式配置是完全正确的，这个模式能精准匹配指定前缀下的所有对象：

{ 
  "source": [ "aws.s3" ], 
  "detail-type": [ "AWS API Call via CloudTrail" ], 
  "detail": { 
    "eventSource": [ "s3.amazonaws.com" ], 
    "eventName": [ "PutObject" ], 
    "requestParameters": { 
      "bucketName": [ "mysupertest88" ], 
      "key": [ { "prefix": "a/c" } ] 
    } 
  } 
}

注意这个功能只有通过EventBridge控制台创建规则时才支持，旧的CloudWatch规则界面可能没有这个选项，需要切换到EventBridge操作。

至于Trail层面过滤，确实如你所说，很多企业里CloudTrail是由运维团队统一管控的，开发者没有修改权限，这个方案实用性不高，除非你能完全掌控Trail的配置权限。

二、S3事件通知：传统且高效的方案 #

没错，S3事件通知是实现这个需求的传统首选方案，我在多个生产项目里都用过，分享下实际经验和容易被忽略的优缺点：

实际使用经验 #

• 配置直观简单：直接在S3桶的「事件通知」页面就能设置，选择PutObject事件类型，然后指定前缀（比如myprefix/mysecondprefix/）或后缀（比如.csv）过滤，不需要依赖CloudTrail，上手成本极低。
• 目标服务灵活：支持把事件发送到Lambda、SQS、SNS甚至EventBridge，能适配不同业务场景——比如用Lambda直接处理对象内容，用SQS做异步缓冲削峰，用SNS通知多个订阅者。
• 实时性表现好：相比CloudTrail事件的几分钟延迟，S3事件通知基本是实时触发（几秒内），对需要快速响应的场景（比如图片转码、实时数据ETL）非常友好。

容易忽略的优缺点 #

优点（新手容易错过）

• 无额外依赖：不需要依赖CloudTrail的日志收集流程，就算账号里没开CloudTrail，或者CloudTrail排除了S3操作，S3事件通知依然能正常工作，可靠性更高。
• 成本更低：S3事件通知本身免费，只需要支付目标服务的费用（比如Lambda执行费），而CloudTrail需要支付日志存储和EventBridge的事件处理费用，长期下来成本差异很明显。
• 原生过滤精准：前缀/后缀过滤是S3原生支持的逻辑，不会出现像CloudTrail那样的匹配歧义问题，配置完就能直接生效。

缺点（新手容易踩坑）

• 规则数量限制：每个S3桶最多只能配置1000个事件通知规则，如果需要非常细粒度的过滤（比如上百个不同前缀），很快就会达到上限，这时候得结合Lambda做二次过滤，或者把事件转发到EventBridge再处理。
• 权限配置陷阱：S3需要有向目标服务发送事件的权限，很多新手会忘记给S3添加对应的权限策略（比如给Lambda的资源策略添加S3的触发权限），导致事件触发失败却找不到原因。跨账号场景下权限配置更复杂，需要双方都配置正确的信任关系。
• 缺乏复杂过滤能力：只能基于前缀和后缀过滤，没法根据对象大小、元数据、上传者身份等条件过滤，如果需要这些逻辑，必须在目标服务里自己实现，或者把事件转发到EventBridge用高级过滤功能。
• 事件重复问题：S3可能会因为网络波动或内部重试机制重复发送事件，所以你的处理逻辑必须是幂等的——比如处理前先检查对象是否已经被处理过，不然会导致重复执行（比如重复生成缩略图、重复写入数据库），这是很多新手容易忽略的点。
• 仅记录成功操作：S3事件通知只针对成功完成的PutObject（包括分片上传完成），如果是失败的上传请求、CopyObject操作或者其他S3 API，默认不会触发事件。如果需要监控这些场景，还是得用CloudTrail+EventBridge方案。

总结建议 #

• 如果你的需求是实时处理成功上传的对象，且过滤逻辑只需要前缀/后缀，优先选S3事件通知，简单高效成本低。
• 如果需要监控所有S3上传相关的API操作（包括失败），或者需要和其他AWS服务的事件做联动，就用EventBridge+CloudTrail，记得用新的prefix过滤功能。

内容的提问来源于stack exchange，提问作者Edge7