如何在Laravel Blade中展示Amazon S3存储桶私有文件 不使用临时URL

解决方案 #

方案1：后端代理访问（推荐，完全符合安全要求） #

你可以新增一个专属的私有文件访问路由，所有图片请求都先经过你自己的后端做权限校验，再返回S3文件内容，全程不会暴露任何S3直链，哪怕用户把页面上的图片链接复制出去，没有权限的第三方也无法访问。

实现步骤

1. 新增路由（routes/web.php），加上鉴权中间件，确保只有登录用户可以访问：

Route::get('/private-avatars/{filename}', [AvatarController::class, 'show'])
    ->middleware('auth')
    ->name('private.avatars.show');

2. 编写控制器逻辑，额外加越权访问校验，确保用户只能查看自己的驾照图片：

<?php

namespace App\Http\Controllers;

use Illuminate\Support\Facades\Storage;

class AvatarController extends Controller
{
    public function show(string $filename)
    {
        // 权限校验：判断当前登录用户的驾照文件名是否匹配请求的文件名
        if (auth()->user()->license->imageName !== $filename) {
            abort(403, '无权访问该文件');
        }
        // 返回S3文件响应
        return Storage::disk('s3')->response('avatars/' . $filename);
    }
}

3. Blade模板中直接调用路由作为图片src即可：

<img src="{{ route('private.avatars.show', ['filename' => $license->imageName]) }}" alt="驾照">

方案2：预签名URL加IP限制 #

如果不想占用自身服务器带宽，也可以在生成预签名URL时增加访问IP限制，生成的URL仅当前用户的IP可以访问，即使链接泄露，第三方也无法打开：

$image_path = Storage::disk('s3')->temporaryUrl(
    'avatars/'.$license->imageName,
    Carbon::now()->addMinutes(20),
    [
        'IpAddress' => request()->ip()
    ]
);

优缺点说明

• 代理方案：安全性最高，权限完全可控，不需要依赖S3额外配置，缺点是图片请求会经过你的服务器，高访问量下会增加带宽成本。
• IP限制预签名方案：请求直接走S3，不占用自身服务器资源，性能更高，缺点是用户切换网络导致IP变更时，URL会失效，需要刷新页面重新生成。

常见问题说明 #

你之前直接输出Storage::response()的返回值得到响应头，是因为该方法返回的是完整的HTTP响应对象，不是图片内容或者可直接使用的资源地址，必须由浏览器单独请求对应路由才能正常解析为图片。

内容的提问来源于stack exchange，提问作者Kunal Rajput