自建AWS ARN用户获授权后，能否通过Node.js @aws-sdk访问他人S3桶？

答案是肯定的——只要目标S3存储桶所属账号正确给你的IAM用户配置了权限，用该用户的Access Key ID和Secret Access Key，通过Node.js的@aws-sdk包完全可以正常访问并上传数据到目标桶。

下面是完整的操作流程和验证要点：

一、正确的操作步骤梳理 #

1. 在你的AWS账号创建IAM用户 #

• 登录自己的AWS控制台，进入IAM服务
• 创建一个仅程序访问的IAM用户（无需控制台登录权限，因为只用于SDK调用）
• 复制该用户的ARN（格式类似arn:aws:iam::你的AWS账号ID:user/用户名），把这个ARN提供给目标S3桶的账号管理员

2. 目标S3桶账号配置权限 #

桶管理员需要通过S3桶策略给你的IAM用户授权（这是最直接的方式），示例策略如下（替换占位符）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "你的IAM用户ARN"
      },
      "Action": [
        "s3:PutObject", // 对应上传操作，按需调整权限
        "s3:ListBucket" // 如果需要列出桶内文件则添加
      ],
      "Resource": [
        "arn:aws:s3:::目标桶名称",
        "arn:aws:s3:::目标桶名称/*"
      ]
    }
  ]
}

• 注意：如果目标桶开启了桶拥有者强制控制（Bucket Owner Enforced），上传的对象会自动归桶拥有者所有；如果未开启，建议在上传时附加x-amz-acl: bucket-owner-full-control参数，确保桶拥有者能管理你上传的文件。

3. 为你的IAM用户生成访问密钥 #

• 在IAM控制台找到你创建的用户，进入「安全凭证」标签页
• 点击「创建访问密钥」，选择「应用程序运行在外部」（比如本地Node.js代码）
• 保存生成的Access Key ID和Secret Access Key（这是唯一能查看Secret的机会，务必妥善存储）

4. Node.js @aws-sdk代码实现 #

先安装依赖：

npm install @aws-sdk/client-s3

上传文件的示例代码：

const { S3Client, PutObjectCommand } = require("@aws-sdk/client-s3");

// 初始化S3客户端
const s3Client = new S3Client({
  region: "目标桶所在区域", // 例如 us-east-1、ap-southeast-1
  credentials: {
    accessKeyId: "你的IAM用户Access Key ID",
    secretAccessKey: "你的IAM用户Secret Access Key"
  }
});

// 执行上传
async function uploadFileToBucket() {
  const uploadParams = {
    Bucket: "目标桶名称",
    Key: "上传后的文件路径/文件名", // 例如 docs/report.pdf
    Body: "待上传的内容或文件流", // 可以是字符串、Buffer或ReadableStream
    // 若桶未开启Bucket Owner Enforced，添加以下参数
    // ACL: "bucket-owner-full-control"
  };

  try {
    const response = await s3Client.send(new PutObjectCommand(uploadParams));
    console.log("上传成功，响应信息：", response);
  } catch (error) {
    console.error("上传失败：", error);
  }
}

uploadFileToBucket();

二、关键注意事项 #

• 权限最小化：只给必要的权限（比如仅上传就只授予s3:PutObject），避免过度授权
• 端点配置：如果是AWS官方S3服务，无需手动指定Domain，SDK会根据Region自动生成端点；如果是兼容S3的第三方存储，才需要在S3Client配置中添加endpoint参数
• 提前验证：可以先用AWS CLI测试权限（配置你的AK/SK后执行aws s3 cp 本地文件路径 s3://目标桶名称/），确认能访问后再编写代码

内容的提问来源于stack exchange，提问作者Kacper Woźniak