如何通过S3 Bucket Policy限制仅主域名可嵌入网站至iframe？

不能仅依靠S3 Bucket Policy实现这个需求，原因如下：

• S3 Bucket Policy是AWS层面的访问控制策略，作用是限制哪些请求能访问S3存储桶内的对象，但无法控制浏览器如何处理返回的内容——即使你通过Bucket Policy限制了Referer，攻击者仍可伪造Referer绕过，而且这种方式也无法从根本上阻止浏览器将内容嵌入iframe。
• 阻止iframe嵌入的核心是让浏览器收到内容时，根据响应头判断是否允许嵌入，这需要通过HTTP响应头来实现，而非S3的访问控制策略。

正确实现方式：配置HTTP响应头 #

你需要给S3托管的静态网站添加以下两种响应头之一，来限制iframe嵌入：

1. 使用X-Frame-Options响应头 #

这个是早期的iframe限制方案，部分现代浏览器仍支持：

X-Frame-Options: ALLOW-FROM https://your-main-domain.com

它指定仅允许你的主域名将当前页面嵌入iframe。

2. 使用Content-Security-Policy（CSP）的frame-ancestors指令 #

这是更现代、更灵活的方案，推荐使用：

Content-Security-Policy: frame-ancestors 'self' https://your-main-domain.com;

其中'self'允许同一域名下的页面嵌入，后面的主域名则允许指定域名嵌入。

如何在S3中配置这些响应头？ #

你可以通过两种方式配置：

• S3静态网站托管的响应头规则：在S3控制台的「静态网站托管」设置中，添加自定义响应头规则，针对所有对象或特定路径设置上述响应头。
• 配合CloudFront（若使用）：如果你的S3网站通过CloudFront分发，可在CloudFront的「行为」设置中添加自定义响应头，这种方式更灵活，还能缓存配置。

补充：Bucket Policy的辅助作用 #

虽然不能单独依赖，但你可以配合Bucket Policy添加Referer限制作为额外防护（注意：Referer可伪造，仅作补充）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*",
      "Condition": {
        "StringLike": {
          "aws:Referer": [
            "https://your-main-domain.com/*",
            "https://www.your-main-domain.com/*"
          ]
        }
      }
    }
  ]
}

但记住，这只是辅助手段，核心防护还是要靠响应头。

内容的提问来源于stack exchange，提问作者Beak