使用AWS S3存储图片时是否需要为每张图片单独生成signed URL？

是否需要为每张图片单独生成Signed URL #

分场景判断：

• 如果你将S3桶配置为公开读权限，不需要生成Signed URL即可让用户直接访问图片，但该方案不支持权限管控，所有人都可随意爬取资源，还会产生不可控的流量成本，仅适合完全公开无访问限制的站点。
• 如果你需要做访问权限控制（比如仅允许用户查看关注对象发布的图片、禁止未登录用户访问资源），或是不希望资源被公开爬取，需要为每张单独的图片生成独立的Signed URL。因为Signed URL的权限和单个S3对象绑定，无法用一个签名URL批量访问多个S3资源。

单次访问100张图片是否需要生成100个Signed URL #

如果使用S3原生Signed URL方案，确实需要单次生成100个独立签名，但你不需要担心性能损耗：

• Signed URL的生成是纯本地运算，不需要调用AWS的远程接口，仅用你的S3访问密钥做哈希签名即可生成，单次生成上百个签名的总耗时也在毫秒级，对后端性能基本无影响。
• 你可以根据业务场景设置合理的签名过期时间（比如1~24小时），将生成的Signed URL在后端缓存，同一用户重复访问同一张图片时无需重复生成，进一步降低开销。
• 针对单次访问大量资源的场景还有优化方案：你可以接入CloudFront CDN，使用签名Cookie替代单对象Signed URL，仅需要为用户签发一次有效的签名Cookie，用户就可以访问所有权限范围内的S3资源，无需为每张图片单独生成签名，同时还能享受CDN加速带来的访问速度提升。

注意事项 #

• 所有Signed URL的生成运算必须放在后端执行，禁止在前端生成，否则会泄露你的S3访问密钥，导致资源被恶意篡改或删除。
• 签名的过期时间需要结合业务合理设置，避免设置过长导致签名泄露后被长期滥用，也不要设置过短导致用户浏览过程中资源过期加载失败。

内容的提问来源于stack exchange，提问作者jpci ann