S3存储桶如何开放公共读取权限但禁止公共上传？

一、解决桶策略保存报错问题 #

保存桶策略时提示访问拒绝，大概率是当前操作的IAM用户缺少s3:PutBucketPolicy权限。先给该用户添加包含这个权限的IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutBucketPolicy",
            "Resource": "arn:aws:s3:::foo"
        }
    ]
}

同时检查你提供的桶策略细节：

• 确认arn:aws:iam::123:user/Access中的123是你的AWS账号ID，Access是正确的IAM用户名
• 桶资源路径arn:aws:s3:::foo/*需和实际桶名foo完全匹配

你的原策略逻辑是正确的：允许指定IAM用户上传，允许所有人读取，其他操作默认拒绝，无需修改策略内容，只要权限和BPA设置正确就能生效。

二、Block Public Access（BPA）正确配置 #

按以下勾选设置（确保公共读通过桶策略生效，同时避免意外的公共访问）：

• ✅ 勾选：Block public access to buckets and objects granted through any access control lists (ACLs)
• ✅ 勾选：Block public access to buckets and objects granted through new access control lists (ACLs)
• ❌ 取消勾选：Block public and cross-account access to buckets and objects through any public bucket or access point policies（核心：允许桶策略的公共访问规则生效）
• ✅ 勾选：Block public and cross-account access to buckets and objects through any public access points

三、CORS策略优化 #

你当前的CORS允许了PUT/POST等上传方法给前端域名，这和“仅服务器通过IAM凭证上传”的需求冲突，应该只保留公共读需要的GET/HEAD方法：

[
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["GET", "HEAD"],
        "AllowedOrigins": ["http://localhost:3000"],
        "ExposeHeaders": []
    },
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["GET", "HEAD"],
        "AllowedOrigins": ["https://example.com"],
        "ExposeHeaders": []
    }
]

• 开发环境保留http://localhost:3000没问题，上线后可移除或替换成正式域名
• 移除PUT/POST/DELETE方法，避免前端直接发起上传请求

内容的提问来源于stack exchange，提问作者grabury