如何使用Lambda生成S3存储桶内容下载链接且不公开存储桶

完全可以通过Lambda实现你的需求，整套方案无需将S3桶设为公开访问，也不需要团队成员持有AWS访问凭证，完美适配你提到的「团队处于指定VPC内、成员无技术背景」的使用场景，比你之前尝试的公开桶方案安全性和稳定性更高。

• 部署Lambda到团队成员所在的同一VPC内，为Lambda执行角色配置最小化S3访问权限：仅允许s3:ListBucket、s3:GetObject两个操作，资源范围限定为你的目标S3桶及桶内所有对象。
• 搭配私有API Gateway对接Lambda作为后端服务，仅允许指定VPC内的请求调用该API，完全屏蔽公网访问入口。
• Lambda核心业务逻辑实现两个核心功能：
  • 调用S3的ListBucket接口拉取桶内对象列表，按文件夹、文件层级整理结构
  • 对每个可下载的文件生成S3预签名下载链接，可自定义链接过期时间（通常设置为12~24小时即可满足日常使用需求）
• 不需要额外搭建前端服务，直接将文件列表和对应下载链接渲染为简单的HTML页面，作为Lambda的返回值返回给调用方，团队成员访问API地址即可看到可视化的文件列表，点击链接直接下载，无任何操作门槛。

• 预签名URL的过期时间不建议设置超过7天，避免链接泄露带来的数据风险
• 可以为私有API Gateway配置VPC终端节点访问策略，进一步限制仅团队所在的子网IP段可以调用，缩小访问范围
• 若需要区分不同成员的下载权限，可以在VPC内网加一层简单的账号校验，不需要接入AWS的身份体系即可实现细粒度权限管控

内容的提问来源于stack exchange，提问作者Heisenberg