如何配置AWS S3仅允许特定域名访问以保护存储的视频等资源

可以实现，有两类成熟的配置方案：

• 基础方案：配置S3存储桶策略，仅允许请求头中Referer字段为你的自有域名的请求访问资源，配置门槛低，适合基础防护场景，缺点是Referer头存在被伪造的可能。
• 高安全方案：将S3设置为AWS CloudFront的私有源站，关闭S3全部公开访问权限，仅允许CloudFront的OAC（源访问控制）身份读取S3内容，同时在CloudFront侧配置WAF规则，仅放行Host为你自有域名的请求，这是AWS官方推荐的专属域名访问方案，安全性更高。

这个观点并不完全准确：

只要用户可以正常在你的站点播放视频，就必然会获取到视频数据流，技术上确实无法100%阻止用户将数据流保存到本地，也就是所谓的“无法完全防下载”。
但这不代表知识产权保护没有落地价值，现有技术可以大幅提升盗用成本、具备法律举证能力：

• 可以给视频添加动态独有的身份水印，即使视频被盗录，也可以溯源到具体的盗取账号，作为维权的法律证据。
• 可以搭配HLS/DASH协议的DRM加密方案，哪怕视频文件被下载，没有授权密钥也无法正常解码播放，有效阻止非授权的二次传播。
• 可以配置资源访问URL的签名有效期，每个访问链接仅在几分钟到几小时的窗口内有效，即使链接被分享也会快速失效，避免资源被批量爬取盗用。

这两项属于基础安全配置，不管是否搭配其他防护方案都建议开启：

• 禁止S3存储桶的公开列表权限：可以从根源上避免攻击者直接遍历你整个存储桶的所有资源，杜绝批量爬取的可能性，属于S3安全配置的基础要求。
• 给文件名加盐（即给文件名加入不可预测的随机字符串，比如将course1.mp4修改为course1_7xQp2Zk9.mp4）：可以大幅提升攻击者猜测资源地址的成本，即使基础防护被绕过，攻击者也无法批量枚举到所有资源地址。
  需要注意的是，这两项属于防护补充手段，不能替代Referer校验、签名URL、DRM加密等核心防护措施。

内容的提问来源于stack exchange，提问作者János