在aws-chrome-lambda中配置Chromium：兼顾Web安全与S3预签名URL访问

以下是几个可行的解决方案，按优先级排序：

方案1：配置S3桶的CORS规则 #

移除--disable-web-security后，浏览器会严格执行跨域检查，而S3预签名URL的跨域权限由桶的CORS规则控制。无头Chrome默认Origin为about:blank，对应请求头里的Origin: null，可以调整CORS规则放行该来源：

1. 登录AWS控制台，找到目标S3桶，进入「权限」标签页的「跨域资源共享(CORS)」配置项
2. 添加如下规则（按需调整AllowedMethods和ExposeHeaders）：

[
  {
    "AllowedHeaders": ["*"],
    "AllowedMethods": ["GET"],
    "AllowedOrigins": ["null"],
    "ExposeHeaders": ["ETag", "Content-Length"]
  }
]

3. 保存配置后，重启Lambda中的Chrome实例，即可正常访问预签名URL，同时Web安全机制会阻止本地文件系统访问。

方案2：修正Chrome启动参数配置 #

之前使用--unsafely-treat-insecure-origin-as-secure未生效，是因为该参数必须配合--user-data-dir一起使用才能生效。调整参数如下：

• 移除默认的--disable-web-security参数
• 添加以下启动参数：

  --unsafely-treat-insecure-origin-as-secure=https://<your-bucket-region>.amazonaws.com
  --user-data-dir=/tmp/chrome-profile
  

  替换<your-bucket-region>为你的S3桶所在区域（如us-east-1）
• 确保预签名URL的域名包含在上述参数指定的源中，Chrome会将该源视为安全来源，允许跨域请求。

方案3：Lambda内代理S3请求 #

通过在Lambda中搭建临时HTTP服务器，代理S3内容，彻底规避跨域问题：

1. 在Lambda代码中，使用HTTP客户端（如Node.js的axios、Python的requests）下载预签名URL对应的文件到/tmp目录
2. 启动一个极简HTTP服务器，仅暴露该下载文件的访问路径（例如Node.js示例）：

const http = require('http');
const fs = require('fs');
const path = require('path');

const server = http.createServer((req, res) => {
  if (req.url === '/s3-content') {
    const filePath = path.join('/tmp', 'downloaded-file');
    fs.createReadStream(filePath).pipe(res);
  } else {
    res.writeHead(404);
    res.end();
  }
});

server.listen(8080, 'localhost', () => {
  // 启动Chrome访问 http://localhost:8080/s3-content
});

3. 让无头Chrome访问本地代理的URL，既无跨域问题，又因Web安全限制无法访问/tmp以外的本地文件。

注意事项 #

• Lambda的/tmp目录最大容量为512MB，确保下载的S3文件不超过该限制
• 确保Lambda执行角色拥有访问目标S3桶的权限（即使使用预签名URL，下载时可能需要基础权限）
• 测试时尽量在Lambda环境中验证，本地Chrome的行为可能与Lambda中的无头实例存在差异

内容的提问来源于stack exchange，提问作者user3698757