AWS Amplify文件上传最佳实践与安全问题咨询

原代码是否最优且安全？ #

你给出的这段上传代码属于基础实现，但既不是最优方案，也存在明显安全漏洞——前端代码可被随意篡改，没有任何后端层面的约束，很容易出现你提到的两类安全问题。

场景1：强制文件存入用户专属目录 #

不能只依赖前端指定路径，必须结合Amplify Storage的安全规则+用户身份绑定来实现强制约束：

• 前端层面：用Amplify Auth获取当前用户的唯一ID（比如Auth.currentAuthenticatedUser().then(user => user.attributes.sub)），上传时固定路径前缀为users/${userID}/，文件名拼接在后面，比如users/12345/test.jpg。
• 核心约束：在S3桶的权限规则（可通过Amplify控制台或amplify/backend/storage/<存储名称>/parameters.json配置）中，设置仅允许用户访问自己的专属目录，规则示例：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": "*",
        "Action": ["s3:PutObject", "s3:GetObject"],
        "Resource": "arn:aws:s3:::<你的桶名称>/users/${cognito-identity.amazonaws.com:sub}/*"
      }
    ]
  }
  

  这样就算前端篡改路径，S3会直接拒绝写入请求，从底层强制文件存入用户专属目录。

场景2：防范伪造文件路径存入DynamoDB #

直接让前端写入DynamoDB完全不安全，必须通过Amplify API+Lambda中间层做校验：

• 禁止前端直接调用DynamoDB写入接口，创建一个Amplify API，前端通过调用这个API提交文件路径。
• 在Lambda函数中执行两步校验：
  1. 通过Cognito身份ID确认当前请求的用户身份。
  2. 校验传入的文件路径是否以该用户的专属目录前缀开头，还可以调用S3的headObject接口，确认文件确实存在且归当前用户所有。
• 只有校验通过后，Lambda才会将路径写入DynamoDB，彻底杜绝伪造路径的问题。

AWS Amplify对应Firebase安全规则的方案 #

有的，Amplify通过S3桶策略+认知身份池规则实现类似Firebase的安全约束逻辑——将用户身份与资源路径绑定，限制用户只能访问自己的资源。另外，Amplify API结合Lambda自定义逻辑，也能实现类似Firebase数据库规则的数据校验能力。

视频教程做法的安全性 #

很多视频教程仅展示基础功能，忽略安全约束，这种直接前端写路径+存DB的做法完全不安全，只能用于演示，绝对不能用于生产环境。

内容的提问来源于stack exchange，提问作者jonathan