如何基于AWS S3实现文件安全管控，仅授权用户可访问存储桶内对象资源

核心思路是完全屏蔽S3的公网直接访问能力，所有文件访问请求都经由你司自有业务服务做身份校验和授权判断，从架构上避免越权访问风险。

1. 基础S3存储桶权限配置 #

首先锁死S3存储桶的公网访问入口：

• 开启存储桶的「阻止所有公网访问」配置，取消所有对象的公开读权限
• 配置存储桶策略，仅允许你司业务服务绑定的IAM角色/账号拥有s3:GetObject权限，其余所有身份的访问全部拒绝

2. 访问入口改造与登录拦截 #

不要直接对外暴露S3对象的原生URL，所有文件访问入口统一走你司官网的服务路由：

• 把原有指向S3的超链接全部替换为你司的业务路由，比如原链接https://bucket.s3.us-east-1.amazonaws.com/contract.pdf修改为https://your-domain.com/file?obj_key=contract.pdf
• 用户点击链接访问你司的业务路由时，服务端首先校验用户的登录态：
  • 未登录用户直接302重定向到官网登录页，登录完成后自动跳转回原文件访问地址
  • 已登录用户直接拉取其用户ID、身份类型（客户/销售/后台管理员）等信息进入下一步校验

3. 细粒度授权校验 #

你司需要预先在业务数据库中维护S3对象的授权映射表，表结构至少包含：S3对象Key、文件上传客户ID、关联预约销售ID列表、管理员访问权限标记三个核心字段。
已登录用户访问时，按优先级匹配授权规则：

• 若当前用户是后台管理员，直接通过校验
• 若当前用户是该文件的上传客户本人，直接通过校验
• 若当前用户是销售身份，且ID存在于该文件关联的预约销售ID列表中，直接通过校验
• 以上规则都不匹配的，直接返回403 Forbidden，不返回任何文件相关内容

4. 授权通过后的文件返回逻辑 #

校验通过后根据文件大小选择合适的返回方式即可：

• 小文件场景：服务端用自身绑定的IAM凭证调用S3的GetObject接口，读取文件内容后直接返回给前端
• 大文件场景：服务端生成有效期为5~30分钟的S3预签名URL，将用户302重定向到该预签名地址完成下载，避免占用业务服务的带宽资源

可选安全优化 #

• 生成预签名URL时可绑定访问者的IP地址，即使预签名URL泄露也无法被其他IP的用户使用
• 新增文件访问审计日志，记录每次访问的用户ID、IP、时间、访问的对象Key，满足后续合规审计需求
• 对离职员工、到期预约的销售，自动清理对应授权列表中的权限，避免权限残留

内容的提问来源于stack exchange，提问作者Samuel Jim Nnamdi