使用OAC时CloudFront访问不存在S3对象返回403而非404的问题求助

这是预期行为，不是Bug #

当使用Origin Access Control（OAC）访问私有S3存储桶时，请求不存在的对象返回403 Access Denied是S3的安全设计：S3不会直接返回404 Not Found，避免攻击者通过响应码枚举桶内的对象存在性，防止敏感信息泄露。CloudFront只是原样转发了S3的响应，所以最终返回给客户端的是403。

可选解决方案 #

方案1：配置CloudFront自定义错误响应 #

通过CloudFront的自定义错误响应功能，将403状态码映射为404，同时可指定自定义响应内容。这种方法最简单，但有个局限：它会把所有403响应都转换成404，包括真正的权限拒绝场景（比如OAC配置错误、非法直接访问S3等）。如果你的场景中不存在这类真实的权限拒绝情况，这个方案足够实用。

在CloudFormation中，可通过CustomErrorResponses属性配置：

CustomErrorResponses:
  - ErrorCode: 403
    ResponseCode: 404
    ResponsePagePath: /404.html # 可选，指定自定义404页面路径

方案2：用Lambda@Edge区分真实的403和对象不存在 #

如果需要精确区分“对象不存在”和“真正的权限拒绝”，可以在CloudFront的Origin Response阶段部署Lambda@Edge函数，检查S3返回的错误码头：

• 当S3返回的x-amz-error-code为NoSuchKey时，说明是对象不存在，将响应码改为404
• 当x-amz-error-code为AccessDenied时，保留403响应

示例Lambda@Edge代码（Node.js）：

exports.handler = async (event) => {
  const response = event.Records[0].cf.response;
  const headers = response.headers;

  // 检查S3返回的错误码
  if (headers['x-amz-error-code']) {
    const errorCode = headers['x-amz-error-code'][0].value;
    if (errorCode === 'NoSuchKey') {
      // 修改响应码为404
      response.status = '404';
      response.statusDescription = 'Not Found';
      // 可选：替换响应内容或头部
      response.headers['content-type'] = [{ key: 'Content-Type', value: 'text/html' }];
      response.body = '<html><body><h1>404 Not Found</h1></body></html>';
    }
  }

  return response;
};

注意：部署Lambda@Edge需要函数位于us-east-1区域，并且要配置正确的IAM权限。

总结 #

• 该403返回是S3的安全机制导致的预期行为，并非Bug
• 若场景简单，直接配置CloudFront自定义错误响应即可
• 若需要精确区分错误类型，使用Lambda@Edge处理S3的响应头

内容的提问来源于stack exchange，提问作者Garret Wilson