如何通过SignedURL让上传后的S3对象默认拥有公开读取权限

gocloud.dev的SignedURL方法本身没有统一的参数直接设置上传后文件的公开权限——因为它是跨云存储的抽象层，不同后端的权限机制存在差异。你可以通过以下两种方式实现需求：

1. 设置存储桶默认ACL（全局生效） #

如果你的存储桶内所有新上传的文件都需要公开可读，直接配置存储桶的默认访问控制列表为公开读。终端用户通过签名URL上传的文件会自动继承这个权限，无需在签名时额外设置。

2. 签名时指定后端特定的ACL参数（按需生效） #

针对不同的云存储后端，通过SignedURLOptions的BeforeSign钩子，传递对应后端的ACL设置：

AWS S3示例 #

import (
	"context"
	"github.com/aws/aws-sdk-go-v2/service/s3"
	"gocloud.dev/blob"
	"time"
)

func generatePublicSignedURL(bucket *blob.Bucket, key string) (string, error) {
	opts := &blob.SignedURLOptions{
		Expiry: 24 * time.Hour, // 自定义URL有效期
	}

	// 通过BeforeSign注入S3的公开读ACL设置
	opts.BeforeSign = func(as func(interface{}) bool) {
		var putInput *s3.PutObjectInput
		if as(&putInput) {
			putInput.ACL = s3.ObjectCannedACLPublicRead
		}
	}

	return bucket.SignedURL(context.Background(), key, opts)
}

Google Cloud Storage示例 #

import (
	"context"
	"cloud.google.com/go/storage"
	"gocloud.dev/blob"
	"time"
)

func generatePublicSignedURL(bucket *blob.Bucket, key string) (string, error) {
	opts := &blob.SignedURLOptions{
		Expiry: 24 * time.Hour,
	}

	opts.BeforeSign = func(as func(interface{}) bool) {
		var gcsOpts *storage.SignedURLOptions
		if as(&gcsOpts) {
			gcsOpts.Header.Set("x-goog-acl", "public-read")
		}
	}

	return bucket.SignedURL(context.Background(), key, opts)
}

原理是利用BeforeSign钩子获取后端原生的签名请求对象，添加对应云服务商的ACL参数，终端用户上传时会自动应用该权限。

内容的提问来源于stack exchange，提问作者themihai