无需授予AWS访问权限即可让用户上传文件触发Lambda函数

该方案完全不需要给终端用户分配任何AWS IAM凭证，全程权限可控、链路托管，是当前AWS生态下的最优落地方式：

核心依赖组件 #

• 前端/客户端：仅和业务侧公开接口交互，无需安装AWS SDK、无需存储任何AWS密钥
• Amazon API Gateway：作为公开API入口，自带请求限流、参数校验能力，支持对接业务侧自有的身份校验逻辑（如用户登录态校验），不需要依赖AWS IAM体系
• S3预签名URL：API Gateway后端对接轻量签名生成逻辑，返回限时、限权限的S3上传链接给前端，权限粒度完全可控
• S3事件通知：用户上传完成后自动触发处理Lambda，直接对Excel、CSV等文件做后续业务处理

具体实现步骤 #

1. 基础资源配置
   • 新建专用S3存储桶，关闭公共访问权限，配置CORS规则放行你的前端域名上传请求
   • 给预签名生成服务的执行角色分配s3:PutObject权限，限定仅能作用于该存储桶的指定前缀路径
   • 配置S3事件通知规则，当 s3:ObjectCreated:* 事件触发时，自动调用你的文件处理Lambda，给Lambda分配该存储桶的读权限和后续业务所需的其他权限
2. 上传链路实现
   • 终端用户在前端选择Excel/CSV类文件后，前端先调用API Gateway开放的/get-upload-url接口，接口侧先做业务校验：比如当前用户是否有上传权限、文件后缀是否符合要求、文件大小是否超出上限
   • 校验通过后，接口后端调用S3 SDK生成预签名URL，设置15~30分钟的有效期、限定文件Content-Type、限定上传大小上限后返回给前端
   • 前端直接用该预签名URL发起PUT请求上传文件，整个上传过程走S3链路，不占用业务服务器带宽，也不需要任何AWS凭证
3. 处理链路实现
   • 文件上传到S3后自动触发事件调用处理Lambda，Lambda可以直接拉取S3文件内容做解析、清洗、入库等自定义操作
   • 如需通知用户处理结果，可在Lambda执行完成后调用业务侧的通知接口，推送站内信、WebSocket消息、短信/邮件通知均可

方案优势 #

• 零权限暴露：终端用户全程不需要接触任何AWS凭证，完全没有密钥泄露风险
• 链路高可用：所有核心节点均为AWS托管服务，天然支持高并发、高可用，不需要自行搭建文件上传服务
• 权限可控性强：预签名URL的有效期、可上传的文件类型、大小均可自定义，即使URL临时泄露也不会造成大范围风险
• 成本极低：预签名生成逻辑非常轻量，API Gateway和Lambda的调用成本几乎可以忽略，S3的存储和流量成本也远低于自建文件服务
• 拓展性强：后续如果需要支持大文件分片上传，仅需要调整预签名生成逻辑生成分片上传的签名即可，整个链路不需要做大规模改造

注意不要给S3存储桶开公共写权限，所有上传必须走预签名URL链路，生成预签名URL时必须做严格的参数校验，避免恶意用户上传非法文件或者超大文件占用存储资源。

内容的提问来源于stack exchange，提问作者NclsK