如何在AWS S3中允许GetObjectAttributes却禁止GetObject，实现对象存在性查询？

方案1：精准配置IAM权限，仅授予s3:HeadObject权限 #

这是最直接的解决方案，你之前混淆了权限对应关系：S3的HeadObject API对应的IAM权限是s3:HeadObject，而非GetObjectAttributes。只需在IAM策略中为用户授予其私有对象路径的s3:HeadObject权限，同时严格禁止s3:GetObject权限即可。

示例IAM策略（假设存储桶为your-private-bucket，用户对象存放在user-content/{user-id}/前缀下）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:HeadObject",
      "Resource": "arn:aws:s3:::your-private-bucket/user-content/${aws:userid}/*"
    },
    {
      "Effect": "Deny",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-private-bucket/user-content/${aws:userid}/*"
    }
  ]
}

客户端调用HeadObject时，对象存在会返回200，不存在返回404，完全满足轮询存在性的需求，且用户无法读取对象内容，符合私有性要求。

方案2：用DynamoDB缓存对象存在状态，降低轮询成本 #

如果担心频繁调用S3 HeadObject的成本，或者需要更灵活的状态管理，可以在用户创建私有对象时，将对象键、所有者ID、存在状态写入DynamoDB表。客户端轮询时直接查询DynamoDB而非S3，既快速又低成本。

• 对象创建流程：用户上传对象到S3后，通过Lambda（或客户端直接调用）将对象信息写入DynamoDB，标记为exists: true
• 轮询流程：客户端根据用户ID和对象键查询DynamoDB，直接获取存在状态
• 清理机制：通过S3生命周期规则触发Lambda，删除过期对象时同步更新DynamoDB状态

这种方式避免了频繁调用S3，成本更低，且完全隔离了对象数据的访问路径。

方案3：预签名HeadObject URL（适用于未通过IAM认证的场景） #

如果客户端无法直接使用IAM角色（比如公开访问场景下的私有内容验证），可以通过后端服务为用户生成预签名的HeadObject URL，有效期按需设置（比如5分钟）。用户用这个URL发起HEAD请求，验证对象存在性，而预签名URL仅授权HEAD操作，无法用于GetObject，确保内容私有。

示例生成预签名URL的代码（Node.js）：

const { S3Client, HeadObjectCommand } = require("@aws-sdk/client-s3");
const { getSignedUrl } = require("@aws-sdk/s3-request-presigner");

const s3Client = new S3Client({ region: "your-region" });

async function generateHeadObjectSignedUrl(bucket, key) {
  const command = new HeadObjectCommand({ Bucket: bucket, Key: key });
  return getSignedUrl(s3Client, command, { expiresIn: 300 });
}

客户端拿到URL后，用HEAD方法请求，根据响应状态判断对象是否存在，无法用该URL下载内容。

内容的提问来源于stack exchange，提问作者Sirawit 'Plum' P.