如何授权仅上传者及其好友访问S3上的用户上传文件？

针对你用CarrierWave上传文件到S3后，URL可被任意访问的问题，核心思路是将S3文件设为私有，仅生成带签名的临时URL，并在应用层做权限校验，具体实现步骤如下：

1. 修改S3文件存储权限为私有 #

首先要确保上传到S3的文件默认是私有状态，禁止公开访问：

配置CarrierWave的Fog存储（S3） #

在config/initializers/carrierwave.rb里完善S3配置：

CarrierWave.configure do |config|
  config.fog_provider = 'fog/aws'
  config.fog_credentials = {
    provider: 'AWS',
    aws_access_key_id: ENV['AWS_ACCESS_KEY_ID'],
    aws_secret_access_key: ENV['AWS_SECRET_ACCESS_KEY'],
    region: ENV['AWS_REGION']
  }
  config.fog_directory = ENV['AWS_S3_BUCKET']
end

修改上传器设置私有ACL #

在SecretFileUploader里指定文件为私有，并设置临时URL的默认有效期：

# uploaders/secret_file_uploader.rb
class SecretFileUploader < CarrierWave::Uploader::Base
  include CarrierWave::MiniMagick
  storage :fog # 使用Fog存储S3

  def extension_white_list
    %w[txt]
  end
  
  def store_dir
    "secret_files"
  end

  # 设置文件私有，禁止公开访问
  def fog_public
    false
  end

  # 临时签名URL的默认有效期（可根据需求调整）
  def fog_authenticated_url_expiration
    15.minutes
  end
end

2. 应用层添加权限校验逻辑 #

在模型和控制器层实现权限判断，仅允许上传者或其好友获取临时URL：

模型层添加权限检查和URL生成方法 #

# models/user.rb
class User < ApplicationRecord
  mount_uploader :secret_file, SecretFileUploader

  # 假设你已通过关联实现好友关系，比如has_many :friends, through: :friendships
  has_many :friendships
  has_many :friends, through: :friendships, class_name: "User"

  # 判断当前用户是否有权限访问该文件
  def can_access_secret_file?(current_user)
    current_user == self || friends.include?(current_user)
  end

  # 生成带权限校验的临时访问URL
  def secret_file_access_url(current_user)
    return nil unless can_access_secret_file?(current_user)
    # 生成带签名的临时URL，可覆盖默认有效期
    secret_file.url(expires_in: 15.minutes)
  end
end

控制器层处理文件访问请求 #

# users_controller.rb
class UsersController < ApplicationController
  # 确保用户已登录
  before_action :authenticate_user!

  def show_secret_file
    @user = User.find(params[:id])
    file_url = @user.secret_file_access_url(current_user)

    if file_url
      # 重定向到带签名的临时URL
      redirect_to file_url
    else
      # 返回无权限错误
      render json: { error: "无权限访问该文件" }, status: :forbidden
    end
  end
end

3. 可选增强安全措施 #

• 缩短临时URL有效期：比如设置为5-15分钟，即使URL被盗用，有效期过后也无法访问。
• 服务器端转发文件内容：如果文件较小，可以在控制器中读取S3文件内容，再返回给客户端，完全隐藏S3地址（性能会有所下降，适合小文件）：

  def show_secret_file
    @user = User.find(params[:id])
    if @user.can_access_secret_file?(current_user)
      s3_object = @user.secret_file.file
      send_data s3_object.body.read, filename: s3_object.filename, type: s3_object.content_type
    else
      render json: { error: "无权限访问该文件" }, status: :forbidden
    end
  end
  

• 记录访问日志：在控制器中记录文件访问的用户、时间等信息，便于追踪异常访问。

内容的提问来源于stack exchange，提问作者Taras