spring-cloud-aws的ResourceLoader能否对接使用KMS密钥的S3服务端加密？

你提到的使用spring-cloud-aws中S3功能的ResourceLoader实现文件上传，完全支持配置KMS密钥实现S3服务端加密，和直接调用AWS原生SDK的加密效果一致。

实现方案 #

方案1：全局统一配置KMS加密（推荐大多数场景使用） #

如果你的项目所有S3上传都使用同一个KMS密钥，直接在项目配置文件中添加以下配置即可，不需要修改原有上传代码：

spring:
  cloud:
    aws:
      s3:
        # 指定加密算法为SSE-KMS
        server-side-encryption-algorithm: SSE-KMS
        # 填写你的KMS密钥ARN或密钥ID
        server-side-encryption-key: arn:aws:kms:region:account-id:key/your-kms-key-id

配置完成后，你原有不需要修改任何上传逻辑，所有通过ResourceLoader上传到S3的文件都会自动使用指定的KMS密钥进行服务端加密。

方案2：单个上传动态指定KMS密钥 #

如果不同文件需要使用不同的KMS密钥，你可以对原有代码做少量修改，手动为单个上传指定加密参数：

WritableResource resource = (WritableResource) resourceLoader.getResource(s3Url);
// 强转为S3Resource类型设置加密参数
if (resource instanceof S3Resource s3Resource) {
    ObjectMetadata objectMetadata = s3Resource.getObjectMetadata();
    // 指定使用SSE-KMS加密
    objectMetadata.setSSEAlgorithm(SSEAlgorithm.KMS.getAlgorithm());
    // 指定当前上传使用的KMS密钥
    objectMetadata.setSSEAwsKmsKeyId("你的KMS密钥ARN或ID");
}

try (OutputStream outputStream = resource.getOutputStream()) {
    Files.copy(file.toPath(), outputStream);
}

原理解释 #

spring-cloud-aws的S3 ResourceLoader底层本质还是封装了AWS原生SDK的PutObjectRequest，你配置的所有加密参数最终都会透传到原生SDK的请求中，和你直接编写原生SDK加密代码的效果完全一致：

// 原生AWS SDK加密实现代码
PutObjectRequest putRequest = 
       new PutObjectRequest(bucket_name, bucket_name, new File(file_path))
      .withSSEAwsKeyManagementParams(new SSEAwsKeyManagementParams("KMS-KEY"));
s3.putObject(putRequest);

你原有的无加密参数的ResourceLoader上传代码如下，只需要按照上面两种方案补充加密配置即可：

WritableResource resource = (WritableResource) resourceLoader
  .getResource(s3Url);

try (OutputStream outputStream = resource.getOutputStream()) {
    Files.copy(file.toPath(), outputStream);
}

内容的提问来源于stack exchange，提问作者ravikant