如何在Android应用生成Amazon S3预签名URL且不暴露AWS凭证

问题根因 #

你当前的实现直接将AWS长期访问密钥（Access Key ID、Secret Access Key）硬编码在客户端的BuildConfig中，这类静态存储的凭证可以通过反编译APK轻易提取，因此会触发Google Play的安全扫描警告，同时存在极高的资产泄露风险。

推荐实现方案（完全避免凭证暴露） #

方案1：后端代理生成预签名URL（最安全，优先选择） #

将预签名URL的生成逻辑完全迁移到你自己的业务后端，客户端全程不接触任何AWS凭证：

• 客户端需要加载S3图片时，携带图片标识向你的业务后端发起请求
• 后端校验用户访问权限合法后，用后端安全存储的AWS长期凭证生成预签名URL，设置合适的过期时间
• 后端将生成好的预签名URL返回给客户端，客户端直接用该URL加载图片即可

这个方案下AWS凭证完全不会流出后端环境，不存在任何暴露风险，同时也方便你后续统一调整URL过期规则、访问权限，无需更新客户端版本。

方案2：使用AWS Cognito身份池下发临时凭证（无自有后端时可选） #

如果暂时没有部署自有后端的条件，不要使用长期AWS凭证，改用AWS Cognito身份池为客户端分配临时受限凭证：

• 在AWS控制台创建Cognito身份池，为未授权/已授权用户配置最小必要权限：仅允许对指定S3桶执行s3:GetObject操作，限制可访问的资源路径
• 客户端集成AWS Cognito SDK，请求获取临时凭证，这类凭证默认自带过期时间，过期后自动失效，即便被泄露也无法长期使用
• 客户端使用获取到的临时凭证生成预签名URL，不会用到长期静态凭证，不会触发Google Play的安全警告

禁止操作 #

绝对不要通过混淆、加密存储、放入Native层等方式试图隐藏长期AWS凭证：

• 这类方式只能提高破解门槛，无法完全避免凭证被提取
• Google Play的安全扫描可以识别AWS凭证的特征格式，无论你怎么存储都会触发警告
• 一旦凭证被恶意提取，你的S3资产会面临被窃取、篡改、恶意消耗流量的风险

内容的提问来源于stack exchange，提问作者Dilan Fdo