如何安全低成本配置AWS S3向Android App推流HLS视频

一、权限安全修复 #

• 立即关闭S3存储桶的完全公共访问，这是核心安全隐患。推荐两种访问控制方式：
  • CloudFront Origin Access Control (OAC)：配置CloudFront作为S3存储桶的唯一访问入口，禁止直接访问S3地址。用户只能通过CloudFront域名获取视频内容，避免存储桶信息泄露和未授权访问。
  • S3预签名URL：通过AWS SDK生成带过期时间的临时访问链接，仅持有有效URL的用户可访问。适合结合Firebase Auth做用户级授权，验证通过后再生成链接。
• 绝对不要在HLS清单中硬编码S3绝对路径，保留清单内的相对路径，通过CloudFront分发时会自动映射到正确的边缘节点地址。

二、MediaConvert配置优化 #

• 创建转码作业时，在输出设置里指定CloudFront分发域名作为HLS的Base URL，生成的m3u8清单会自动使用「相对路径+CloudFront域名」，无需手动修改路径，从根源解决清单加载问题。
• 给MediaConvert的IAM角色配置最小权限：仅允许读取源S3存储桶的MP4文件，写入转码后的HLS文件到目标S3存储桶，避免过度授权。

三、成本控制策略 #

• 充分利用AWS免费套餐：S3标准存储前5GB免费，CloudFront每月前50GB出站流量免费，MediaConvert有每月固定时长的免费转码额度，测试阶段优先使用这些资源。
• 存储优化：转码完成后，若无需保留源MP4文件及时删除；长期不访问的视频移至S3 Glacier类存储，大幅降低存储成本。
• 传输优化：全程通过CloudFront分发视频，利用边缘缓存减少S3直接访问次数，同时借助边缘节点就近提供内容，降低跨区域数据传输费用。

四、Firebase集成优化 #

• 在Firebase数据库中存储CloudFront分发的HLS清单URL（例如https://your-cf-domain/video/stream.m3u8），而非S3地址。
• 若需用户级访问控制，可在后端（如AWS Lambda）结合Firebase Auth的用户凭证，验证通过后生成S3预签名URL返回给Android App，确保仅授权用户能播放视频。

内容的提问来源于stack exchange，提问作者Abhay Kumar Tiwari