如何限制AWS S3对象URL仅允许网站已登录用户访问

该需求完全可以实现，核心逻辑是关闭S3的全部公开访问权限，所有文件访问请求都先经过你的业务侧登录态校验后再放行，和Google Drive的私有文件访问逻辑完全对齐。下面是三种成熟的落地方案：

• 关闭S3公共访问权限（所有方案的前置要求）
  进入S3存储桶的「权限」配置页，开启「阻止所有公共访问」的四个开关，确保没有任何对象、存储桶策略配置了公开可读权限，从根源上避免未鉴权访问的可能。
• 方案1：S3预签名URL（轻量化首选，适合绝大多数场景）
  原理：用户在你的网站完成登录后，当需要访问S3文件时，由你的后端调用AWS SDK生成带签名、有时效性的临时访问URL，返回给前端使用。
  配置要点：预签名URL的有效期可自定义，最短几秒最长7天，就算URL被泄露，过期后也无法继续访问。
  示例代码（Node.js环境）：

  const { S3Client, GetObjectCommand } = require("@aws-sdk/client-s3");
  const { getSignedUrl } = require("@aws-sdk/s3-request-presigner");
  // 初始化S3客户端，权限只需要s3:GetObject即可
  const s3Client = new S3Client({ region: "你的存储桶所在区域" });
  
  // 生成有效期1小时的预签名URL
  async function getPrivateFileUrl(bucketName, fileKey, expireTime = 3600) {
    const command = new GetObjectCommand({
      Bucket: bucketName,
      Key: fileKey
    });
    return await getSignedUrl(s3Client, command, { expiresIn: expireTime });
  }
  

• 方案2：CloudFront + Lambda@Edge 鉴权（适合大流量、全球访问场景）
  原理：给S3存储桶绑定CloudFront CDN作为唯一访问入口，所有文件请求先到达CloudFront节点，触发部署在边缘节点的Lambda@Edge函数，校验请求携带的登录态（比如Cookie中的登录凭证、请求头中的JWT Token）是否有效，校验通过后放行请求回源到S3，校验失败直接重定向到你的网站登录页。
  优势：不用修改现有文件URL的路径结构，CDN缓存还能大幅降低S3回源成本，全球用户访问速度更快。
• 方案3：后端代理访问（适合小流量、高权限管控要求场景）
  原理：所有S3文件的访问请求都先发到你的业务后端，后端校验用户登录状态有效后，直接从S3拉取文件内容再返回给用户，全程不对外暴露S3的真实存储地址。
  注意：该方案会占用业务后端的出口带宽，大流量、大文件场景下成本较高，不适合访问量高的业务使用。

额外注意：如果需要支持用户直接分享S3文件给外部未登录用户，只需要在业务侧增加分享鉴权逻辑，校验分享链接的有效性后再生成对应预签名URL即可，和现有登录鉴权逻辑不冲突。

内容的提问来源于stack exchange，提问作者Samuel Jim Nnamdi