在MERN应用中何时生成S3预签名URL以加载私有对象？

我在MERN栈+EC2实例的应用中用S3存储图片，已经实现了以下功能：

• 生成上传用的预签名URL：

const key = `images/${Date.now()}.jpeg`;
s3_config
  .getImageSignedUrl(key)
  .then((url) => {
    res.status(200).send({ key, url });
  })
  .catch((error) => {
    res.status(500).send({
      message: "There was an error generating pre-signed url.",
    });
  });

• 图片上传后的直接链接格式：

https://BUCKET_NAME.s3.amazonaws.com/images/1667119739573.jpeg

• 生成读取用预签名URL的函数（确保图片仅应用内可访问，直接访问原链接会返回AccessDenied）：

var getImageReadSignedUrl = async function (key) {
  return new Promise((resolve, reject) => {
    s3.getSignedUrl(
      "getObject",
      {
        Bucket: AWS_BUCKET_NAME,
        Key: key,
        Expires: 300,
      },
      (err, url) => {
        if (err) {
          reject(err);
        } else {
          resolve(url);
        }
      }
    );
  });
};

现在数据库中存储的是图片的直接链接，前端通过img标签渲染图片。我纠结的点是：难道必须在每次返回含图片URL的后端数据前，都调用getImageReadSignedUrl返回预签名URL吗？这种方式虽然可行，但要修改所有返回图片的后端逻辑，太繁琐，有没有更省心的替代方案？

1. 存储图片Key而非完整链接，新增图片代理接口 #

把数据库里的S3完整链接替换成图片的Key（比如images/1667119739573.jpeg），后端新增一个统一的图片接口，比如GET /api/images/:key。这个接口内部调用getImageReadSignedUrl获取预签名URL，要么返回302重定向到该URL，要么直接将图片内容返回给前端。

前端img标签直接使用该代理接口地址，例如：<img src="/api/images/images/1667119739573.jpeg" />。

• 优点：无需修改所有业务接口，仅需调整数据库存储逻辑和新增一个代理接口；前端仅需修改图片地址拼接规则
• 缺点：每次图片加载都会经过EC2代理，会增加EC2的带宽和请求压力

2. 前端批量请求预签名URL后再渲染 #

后端新增一个专门生成读取预签名URL的接口，比如POST /api/images/signed-url，接收一批图片Key，批量返回对应的预签名URL。

前端先获取业务数据（包含图片Key），收集所有需要渲染的图片Key，批量调用该接口拿到预签名URL后，再替换到img标签中。

• 优点：业务接口无需修改，仅需新增一个通用接口；EC2无需代理图片流量，节省带宽
• 缺点：前端多了一步请求逻辑，需要处理批量请求，建议做缓存避免重复请求

3. 配置CloudFront签名Cookie（进阶方案） #

使用CloudFront作为S3的CDN，将S3设置为私有源，仅允许CloudFront访问。配置CloudFront的签名Cookie，后端生成与用户会话绑定的签名Cookie，有效期与用户登录态保持一致，前端直接使用CloudFront地址加载图片即可。

• 优点：图片流量走CloudFront，减轻EC2和S3的压力；签名Cookie一次设置可长期有效，无需频繁生成预签名URL
• 缺点：需要额外配置CloudFront，学习成本和配置复杂度较高

4. 全局中间件自动替换链接（快速过渡方案） #

后端编写一个全局中间件，拦截所有返回的响应数据，通过正则匹配识别其中的S3图片链接，提取Key后调用getImageReadSignedUrl替换为预签名URL。

• 优点：无需逐个修改业务接口，一次性完成适配；前端无需任何调整
• 缺点：若响应数据结构复杂，正则匹配可能出错；全局拦截会增加所有响应的处理时间，影响性能

内容的提问来源于stack exchange，提问作者AG_HIHI