使用createPresignedPost上传S3时如何安全关联对象与用户ID

你当前考虑的「加密身份信息写入元数据再由Lambda解密」的方案可行，但存在额外的加解密开销，也需要妥善管理加密密钥，并不是最通用的选型，以下几个是生产环境更常用的实现方式，全部依赖S3原生能力做防篡改，安全成本更低：

方案1：通过对象Key路径绑定用户ID（最推荐，零额外依赖） #

这是绝大多数S3上传场景的标准做法：

• 设计对象存储路径规则时，直接将用户ID作为路径的固定层级，例如 user-uploads/{userID}/{随机生成的文件唯一ID}.{后缀}
• 调用createPresignedPost生成上传凭证时，在Policy的Conditions字段中强制锁死Key的前缀，例如给用户ID为u_12345的用户生成凭证时，加入条件：

  ["starts-with", "$key", "user-uploads/u_12345/"]
  

• 这个条件是S3侧强制校验的，客户端如果篡改上传路径，S3会直接返回403拒绝上传，完全没有绕过空间。
• S3事件触发Lambda后，直接从事件记录里的对象Key字符串中解析出对应用户ID即可，不需要额外传参、加解密，也不需要依赖其他存储。

注意：不要让客户端自定义完整的对象Key，文件名部分一定要由你后端生成随机串，避免路径遍历、文件名冲突问题。

方案2：预上传登记+上传唯一ID关联（适合不想把用户ID暴露在对象路径的场景） #

如果你的业务要求不能在S3路径中出现用户ID，可以用预登记的方式做关联：

• 用户发起上传请求时，先请求你的业务后端，后端校验用户登录态拿到用户ID后，先在数据库插入一条上传记录，字段包含：随机生成的全局唯一uploadId、关联的userID、预期的S3对象Key、凭证过期时间，记录状态标记为「待上传」。
• 调用createPresignedPost时，在Policy的Conditions中强制锁死自定义元数据字段x-amz-meta-upload-id的值为刚才生成的uploadId，同时锁死允许上传的对象Key，客户端无法篡改这两个值。
• 上传完成触发Lambda后，从对象元数据中读取uploadId，去业务数据库查询对应的关联用户ID即可，校验完成后可以把上传记录状态更新为「已上传」，同时完成图片校验、数据落库的逻辑。
• 这个方案的额外好处是可以天然实现上传凭证过期作废、上传行为审计，出现异常上传时可以直接追溯。

方案3：用Cognito身份凭证自动关联（适合无后端签发预签名的场景） #

如果你的客户端是通过Amazon Cognito身份池获取临时凭证直接上传S3，不需要你自己的业务后端签发预签名，可以直接在IAM权限策略中用Cognito提供的策略变量，约束用户只能上传到路径带自身Cognito身份ID（${cognito-identity.amazonaws.com:sub}）的位置，上传完成后Lambda可以直接从S3对象的所有者属性中读取对应的身份ID，不需要额外传参。

核心注意点 #

未锁死Policy条件的情况下，客户端可以任意篡改自定义元数据的值，就算加密，只要加密逻辑或者密钥泄露，就可能出现越权伪造的问题；而上述三个方案都是把关联字段锁死在预签名Policy中，由S3做强制校验，篡改请求根本无法到达存储层，安全边界更可靠。

内容的提问来源于stack exchange，提问作者Iliaaaa