如何为Pocketbase配置S3存储？及私有访问设置咨询

一、完整的PocketBase S3配置流程 #

直接按以下步骤操作，就能让PocketBase自动把文件上传到S3，不用再手动传完存链接：

• 先准备好S3兼容服务的核心信息：Endpoint（AWS S3可填s3.amazonaws.com，自建存储如MinIO填对应地址）、Access Key、Secret Key、存储桶名称、区域（如us-east-1）。
• 打开PocketBase管理后台，进入Settings > Files storage页面（对应你提供的截图界面）。
• 在「Storage type」下拉框选择S3。
• 逐项填写配置项：
  • Endpoint：填入S3服务的地址，AWS用户可留空或填官方地址
  • Access key：你的S3访问密钥ID
  • Secret key：你的S3秘密访问密钥
  • Bucket：目标存储桶的名称
  • Region：存储桶所在的区域
  • 可选配置：可设置文件前缀（给所有上传文件加统一路径前缀，方便分类管理）、启用SSL（默认开启即可）
• 点击Save settings保存，之后PocketBase会自动处理文件的上传、存储与关联，无需手动维护链接。

二、将存储桶配置为仅对PocketBase开放 #

完全可以把存储桶设为私有，只允许PocketBase访问，具体操作如下：

1. 关闭存储桶公开访问
   在S3控制台的存储桶权限设置中，开启「阻止所有公开访问」，彻底关闭之前的公开配置，确保存储桶默认不对外暴露。

2. 创建专用IAM用户并授权

   • 登录AWS IAM控制台，创建一个仅给PocketBase使用的IAM用户，勾选「访问密钥 - 编程访问」选项。
   • 给该用户附加自定义IAM策略（替换下方的你的存储桶名称为实际桶名），策略仅允许必要的S3操作：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:PutObject",
                   "s3:GetObject",
                   "s3:DeleteObject",
                   "s3:ListBucket"
               ],
               "Resource": [
                   "arn:aws:s3:::你的存储桶名称",
                   "arn:aws:s3:::你的存储桶名称/*"
               ]
           }
       ]
   }
   

3. 更新PocketBase配置
   把刚创建的IAM用户的Access Key和Secret Key，填入PocketBase的S3配置项中并保存，此时PocketBase就能正常访问私有存储桶了。

4. 前端访问文件的解决方案
   如果需要前端展示私有文件，不用开放存储桶，两种方案可选：

   • 用PocketBase的文件代理接口：通过/api/files/集合名/记录ID/字段名接口访问，PocketBase会从S3拉取文件后返回给前端，全程保持存储桶私有。
   • 生成S3预签名URL：让PocketBase在需要时生成带过期时间的临时访问链接，返回给前端用于获取文件，既安全又灵活。

内容的提问来源于stack exchange，提问作者G3N