CloudFront签名Cookie资源路径配置正确性咨询（访问被拒）

待分发的HLS文件存储在S3桶的多层目录下，路径为/vod/folder1/folder2/folder3/streams/master.m3u8，生成签名Cookie时出现访问被拒，核心疑问是资源路径的通配符设置是否合理，当前代码如下：

String s3ObjectKey="vod/*";            
CookiesForCustomPolicy cookies = CloudFrontCookieSigner
                .getCookiesForCustomPolicy(SignerUtils.Protocol.https,
                                            "d2xyz.cloudfront.net",
                                            privateKeyFile,
                                            s3ObjectKey,
                                            keyPairId,
                                            expiresOn,
                                            null,
                                            "0.0.0.0/0"
                                            );

问题分析 #

当前设置的s3ObjectKey="vod/*"存在通配符匹配范围不足的问题：

• CloudFront的*通配符仅匹配单个路径段，也就是只能匹配vod/目录下直接存放的文件（比如vod/file.m3u8），无法匹配vod/folder1/...这种多层子目录下的资源，这就是访问被拒的直接原因。

修正方案 #

根据你的资源路径层级，选择合适的通配符配置：

• 如果需要匹配vod/下所有层级的资源（包括所有子目录里的文件），将s3ObjectKey改为：

  String s3ObjectKey="vod/**";
  

• 如果仅需要匹配目标文件所在的streams目录下的资源，可以更精确地设置：

  String s3ObjectKey="vod/folder1/folder2/folder3/streams/*";
  

• 若要匹配folder1下的所有层级资源，可设置为：

  String s3ObjectKey="vod/folder1/**";
  

额外检查点 #

• 确认expiresOn参数设置的是未来的时间戳，若已过期会直接导致访问被拒；
• 确保使用的私钥与keyPairId是CloudFront密钥对的正确配对；
• "0.0.0.0/0"表示允许所有IP访问，该配置无问题。

内容的提问来源于stack exchange，提问作者Ashish