Angular结合SpringBoot实现S3音频流且不公开存储桶URL的方案咨询

一、后端Spring Boot改造 #

1. 核心逻辑调整 #

完全移除S3直链返回逻辑，所有媒体资源访问都通过后端代理接口转发，从根源避免存储桶地址泄露。

2. 修改播放列表返回逻辑 #

构造带签名和过期时间的后端代理地址替换原S3直链，满足临时专属链接要求：

@Override
public Flux<AudioResponseDto> getPlaylist() {
    // 链接有效期1小时，可按需调整
    long expireTime = System.currentTimeMillis() + 3600 * 1000;
    return audioRepository.findAll()
            .map(entity -> {
                AudioResponseDto dto = AudioUtils.audioEntityToAudioResponseDto(entity);
                // 生成防篡改签名，规则可自定义，比如用音频ID+过期时间+密钥做MD5加密
                String sign = SignUtil.generateSign(entity.getId(), expireTime);
                // 构造后端代理地址，替换原S3直链
                String proxyStreamUrl = String.format("/audio/stream/%s?sign=%s&expire=%d", entity.getId(), sign, expireTime);
                dto.setStreamUrl(proxyStreamUrl);
                return dto;
            });
}

3. 新增音频流式代理接口 #

支持边拉取S3资源边返回给前端，无需加载全量文件到内存，同时兼容音频播放的进度条拖动需求：

@GetMapping(value = "/stream/{audioId}", produces = MediaType.APPLICATION_OCTET_STREAM_VALUE)
public ResponseEntity<Flux<DataBuffer>> streamAudio(
        @PathVariable String audioId,
        @RequestParam String sign,
        @RequestParam Long expire,
        @RequestHeader HttpHeaders headers) {
    // 校验签名合法性、链接是否过期
    if (!SignUtil.validate(audioId, sign, expire) || System.currentTimeMillis() > expire) {
        return new ResponseEntity<>(HttpStatus.FORBIDDEN);
    }
    // 查询音频对应的S3存储Key
    AudioEntity audio = audioRepository.findById(audioId)
            .orElseThrow(() -> new ResponseStatusException(HttpStatus.NOT_FOUND));
    // 构造S3拉取请求
    GetObjectRequest s3Request = GetObjectRequest.builder()
            .bucket(s3Config.getBucket())
            .key(audio.getS3Key())
            .build();
    // 流式拉取S3资源直接返回
    Flux<DataBuffer> s3Stream = DataBufferUtils.readInputStream(
            () -> s3Client.getObject(s3Request),
            DefaultDataBufferFactory.sharedInstance,
            4096
    );
    return ResponseEntity.ok()
            .header(HttpHeaders.CONTENT_TYPE, "audio/mpeg")
            .header(HttpHeaders.ACCEPT_RANGES, "bytes")
            .body(s3Stream);
}

4. 新增权限可控的下载接口 #

仅对满足条件的用户开放下载权限：

@GetMapping("/download/{audioId}")
public ResponseEntity<Flux<DataBuffer>> downloadAudio(
        @PathVariable String audioId,
        Principal principal) {
    // 自定义权限校验逻辑，判断当前用户是否有该音频的下载权限
    if (!permissionService.hasDownloadPermission(principal.getName(), audioId)) {
        return new ResponseEntity<>(HttpStatus.FORBIDDEN);
    }
    // 同代理接口的S3拉取逻辑，仅修改响应头触发下载行为
    AudioEntity audio = audioRepository.findById(audioId)
            .orElseThrow(() -> new ResponseStatusException(HttpStatus.NOT_FOUND));
    GetObjectRequest s3Request = GetObjectRequest.builder()
            .bucket(s3Config.getBucket())
            .key(audio.getS3Key())
            .build();
    Flux<DataBuffer> s3Stream = DataBufferUtils.readInputStream(
            () -> s3Client.getObject(s3Request),
            DefaultDataBufferFactory.sharedInstance,
            4096
    );
    return ResponseEntity.ok()
            .header(HttpHeaders.CONTENT_DISPOSITION, "attachment; filename=\"" + audio.getTitle() + ".mp3\"")
            .body(s3Stream);
}

5. 基础配置调整 #

• 关闭S3存储桶的公网访问权限，仅配置后端服务对应的IAM角色拥有S3资源读取权限
• 可按需添加Referer校验、请求频率限制等防护逻辑，避免代理接口被滥用

二、前端改造 #

前端原有播放逻辑几乎不需要修改，streamUrl已经替换为后端代理地址，原有音频播放、切歌逻辑可完全复用。如果需要新增下载功能，仅需添加对应按钮调用后端下载接口即可。

三、后续视频场景复用 #

该代理逻辑完全兼容视频播放需求，仅需根据资源类型调整响应的Content-Type即可，无需重构核心流程。

安全诉求匹配说明 #

• 访客仅可收听不可下载：默认代理接口仅返回流式播放响应，无下载权限的用户访问下载接口会直接被拒绝，可配合前端禁止音频右键下载的交互进一步强化限制
• 特定条件允许下载：下载接口内置权限校验逻辑，可灵活对接会员、付费等业务规则
• 每次播放生成专属临时链接：播放列表返回的代理链接自带过期时间和防篡改签名，过期后自动失效，每次刷新播放列表都会生成新的有效链接

内容的提问来源于stack exchange，提问作者davidvera