能否生成Amazon S3预签名URL实现视频可播放不可下载？

确实有可行方案实现这个需求，核心是通过预签名参数约束+分发层控制+前端辅助的组合方式提升下载门槛（注意：无法完全禁止下载，因为浏览器播放本质会缓存视频片段，只能增加非授权下载的难度）：

• 预签名URL绑定响应头与请求条件
  生成S3预签名URL时，指定ResponseContentDisposition为inline，强制浏览器以内联方式打开视频而非触发下载弹窗，同时绑定对应视频的Content-Type（比如video/mp4），确保浏览器识别为可播放媒体类型。
  示例生成逻辑（Python boto3）：

  import boto3
  from botocore.config import Config
  
  s3 = boto3.client('s3', config=Config(signature_version='s3v4'))
  presigned_url = s3.generate_presigned_url(
      'get_object',
      Params={
          'Bucket': 'your-bucket-name',
          'Key': 'target-video.mp4',
          'ResponseContentDisposition': 'inline',
          'ResponseContentType': 'video/mp4'
      },
      ExpiresIn=3600  # URL有效期1小时
  )
  

  额外可添加请求头约束，比如限制Referer为你的业务域名（生成签名时通过Conditions参数指定["eq", "$Referer", "https://your-domain.com/"]），过滤非你的网站发起的请求。

• 配合CloudFront实现更严格访问控制
  如果用CloudFront作为S3的分发层，可通过CloudFront签名URL/签名Cookie实现更精细的规则：

  • 配置CloudFront行为时，默认返回Content-Disposition: inline响应头；
  • 限制请求的User-Agent为常见浏览器标识，过滤脚本、专业下载工具的请求；
  • 绑定访问者IP范围、会话信息等，进一步缩小URL的可用场景。

• 前端播放层辅助防护
  在网页中用<video>标签嵌入视频，通过JavaScript禁用右键菜单、隐藏浏览器自带的下载按钮，或监听播放事件阻止非法下载行为。但这仅为前端层面的防护，技术人员仍可通过开发者工具获取真实请求地址，仅作为补充手段。

内容的提问来源于stack exchange，提问作者Pavlo Shchur