如何不公开目标S3存储桶，让静态网站桶的脚本访问其MP3文件？

这是个非常典型的场景——想用公开静态网站访问私有桶资源，但又不想破坏私有桶的安全性。你遇到的403问题，核心原因是CORS规则只解决了跨域请求的"允许"问题，并没有解决资源的"授权访问"问题：浏览器发起请求时，S3不仅会检查CORS是否允许跨域，还会验证请求者有没有权限读取那个MP3对象，这就是为什么你配置了CORS还是拿不到资源。

下面是几种可行的解决方案，按实现复杂度从低到高排序：

1. 预签名URL（最推荐的轻量方案） #

因为你的静态网站是纯前端的，没法安全存储AWS凭证，所以可以借助一个轻量后端服务（比如AWS Lambda）生成预签名URL——这是一种临时授权的URL，持有它的用户可以在过期时间内访问私有对象，无需公开桶。

具体步骤： #

• 给后端服务（比如Lambda）配置IAM角色，赋予它访问bucket-2中MP3对象的s3:GetObject权限。
• 后端提供一个简单接口，接收MP3文件路径参数，调用AWS SDK生成预签名URL并返回。
• 前端的script.js调用这个接口拿到预签名URL，再用这个URL加载MP3资源。

Lambda示例代码（Python）： #

import boto3
from botocore.config import Config

# 初始化S3客户端（使用Lambda的IAM角色权限）
s3 = boto3.client('s3', config=Config(signature_version='s3v4'))

def lambda_handler(event, context):
    # 替换为你的私有桶名称和目标MP3路径
    bucket_name = "bucket-2"
    object_key = "audio/sample.mp3"
    # 设置URL过期时间（单位：秒，这里设为1小时）
    expiration = 3600

    # 生成预签名URL
    presigned_url = s3.generate_presigned_url(
        'get_object',
        Params={'Bucket': bucket_name, 'Key': object_key},
        ExpiresIn=expiration
    )

    return {
        'statusCode': 200,
        'headers': {'Content-Type': 'application/json'},
        'body': presigned_url
    }

2. CloudFront + Origin Access Control（OAC）+ 签名URL/Cookie #

如果你的静态网站也使用CloudFront托管，或者愿意为私有桶的资源配置CloudFront分发，可以用这种方案：

• 创建CloudFront分发，将源设置为bucket-2，并配置Origin Access Control（OAC）（替代旧版的OAI），让CloudFront拥有访问私有桶的权限。
• 使用CloudFront的签名工具生成签名URL或Cookie，将这些签名信息传递给前端script.js，用户就能通过CloudFront域名安全访问MP3资源，而bucket-2始终保持私有。

补充：修正你的CORS配置 #

虽然CORS不是核心问题，但为了确保跨域请求能正常发起，bucket-2的CORS规则需要正确配置（注意不能用ARN，必须填静态网站的实际域名）：

[
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["GET"],
        "AllowedOrigins": ["https://your-public-bucket-static-url.com"],
        "ExposeHeaders": []
    }
]

这里的AllowedOrigins要替换成你公开桶静态网站的实际域名（比如http://bucket-1.s3-website-us-east-1.amazonaws.com）。

内容的提问来源于stack exchange，提问作者ShwetaJ