AWS Lambda处理S3图片后前端访问出现Access Denied问题解决

以下是几个核心排查和解决方向：

1. 检查目标S3桶的桶策略 #

确保桶策略允许前端访问对象的s3:GetObject动作。如果需要开放给特定域名访问，可配置类似策略（替换占位符）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::你的目标桶名称/*",
      "Condition": {
        "StringLike": {
          "aws:Referer": "https://你的前端域名/*"
        }
      }
    }
  ]
}

测试场景可暂时移除Condition允许所有来源，生产环境务必限制具体域名。

2. 修正图片对象的ACL权限 #

Lambda上传图片到目标桶时，默认对象是私有权限。需在上传时显式设置对象ACL为可读取：

// Node.js AWS SDK v2 示例
const AWS = require('aws-sdk');
const s3 = new AWS.S3();

async function uploadProcessedImage() {
  // 省略图片处理逻辑
  await s3.putObject({
    Bucket: '目标桶名称',
    Key: '处理后的图片路径/文件名',
    Body: processedImageBuffer,
    ACL: 'public-read' // 设置为公开可读
  }).promise();
}

若不想公开对象，可跳过此步骤，改用预签名URL方案。

3. 配置S3桶的CORS规则 #

前端跨域请求S3资源必须通过CORS验证。在S3桶的权限配置中添加CORS规则：

<?xml version="1.0" encoding="UTF-8"?>
<CORSConfiguration xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
<CORSRule>
    <AllowedOrigin>https://你的前端域名</AllowedOrigin>
    <AllowedMethod>GET</AllowedMethod>
    <AllowedMethod>OPTIONS</AllowedMethod>
    <MaxAgeSeconds>3000</MaxAgeSeconds>
    <AllowedHeader>*</AllowedHeader>
</CORSRule>
</CORSConfiguration>

开发环境可暂时用<AllowedOrigin>*</AllowedOrigin>，生产环境替换为实际前端域名。

4. 使用预签名URL（推荐非公开场景） #

如果不想将桶或对象设为公开，后端可生成带有效期的预签名URL返回给前端，通过临时权限访问：

// Node.js AWS SDK v2 生成预签名URL示例
const getPresignedUrl = async (bucket, key) => {
  const params = {
    Bucket: bucket,
    Key: key,
    Expires: 3600 // 有效期1小时
  };
  return s3.getSignedUrl('getObject', params);
};

// 在接口中返回预签名URL给前端
app.get('/image-url', async (req, res) => {
  const presignedUrl = await getPresignedUrl('目标桶名称', '图片key');
  res.json({ url: presignedUrl });
});

前端直接使用这个预签名URL作为img标签的src即可，无需开放桶权限。

5. 验证Lambda执行角色权限 #

确保Lambda的IAM角色拥有目标桶的s3:PutObject权限，若设置了对象ACL，还需添加s3:PutObjectAcl权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource": "arn:aws:s3:::目标桶名称/*"
    }
  ]
}

内容的提问来源于stack exchange，提问作者mahmoud2020