如何仅向持有正确密钥的用户开放S3存储桶中存储的图片访问权限

这个方案完全匹配你的需求，不需要学习复杂的IAM规则、S3存储桶策略，也不用额外开发鉴权逻辑，生成的图片URL天然携带签名参数，和你预期的?key=xxx形式完全一致。

核心逻辑 #

你不需要把S3存储桶设为公开状态，所有图片默认私有。你在自有服务器完成用户身份校验后，调用AWS SDK生成带签名的临时访问URL，用户只有拿到这个有效签名的URL才能访问图片，签名过期后自动失效。

操作步骤 #

• 首先关闭S3存储桶的所有公开访问权限，确保默认状态下无权限的用户无法访问任何存储内容
• 在自有业务服务器安装对应开发语言的AWS SDK（Python用boto3、Node.js用aws-sdk、Java用aws-sdk-java等），给SDK配置IAM访问凭证，该凭证只需要配置一次
• 完成用户身份校验后，调用SDK内置的预签名URL生成方法，指定要访问的图片路径和URL有效时长即可，生成的URL可以直接返回给前端用于图片展示

代码示例（Python） #

import boto3

# 初始化S3客户端，仅需配置一次
s3_client = boto3.client(
    's3',
    aws_access_key_id='你的IAM访问密钥ID',
    aws_secret_access_key='你的IAM访问密钥',
    region_name='S3桶所在区域代码'
)

# 生成1小时有效的图片预签名URL
presigned_img_url = s3_client.generate_presigned_url(
    ClientMethod='get_object',
    Params={'Bucket': '你的S3桶名称', 'Key': '图片在桶内的存储路径，例如imgs/avatar.jpg'},
    ExpiresIn=3600
)

IAM权限配置（仅需配置一次） #

不需要理解IAM复杂规则，直接新建一个IAM用户，给它绑定如下权限策略，替换策略中的桶名为你实际使用的S3桶名即可：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::你的S3桶名/*"
        }
    ]
}

方案优势 #

• 所有加密、签名逻辑都由SDK封装完成，你不需要处理任何底层逻辑
• 生成的URL默认携带X-Amz-Signature等鉴权参数，符合你要的带参数访问的需求
• 有效期支持自定义，最短可以设为15分钟，最长7天，就算URL泄露过期后也无法访问
• 完全不影响你现有的用户身份认证逻辑，只需要在确认用户有权限后新增一行生成URL的代码即可

内容的提问来源于stack exchange，提问作者Yeats