能否通过S3托管的静态网站向S3 bucket上传文件（无需使用任何实例）

完全支持，该场景全程不需要运行任何EC2、容器或后端服务实例，全部依赖AWS原生无服务能力即可实现。

核心实现逻辑 #

• 交互界面全部是静态HTML/CSS/JS文件，托管在第一个S3桶（界面桶）的静态网站功能上
• 前端直接调用S3原生API完成向目标S3桶的上传操作，所有请求直接走AWS公有云服务端点，不需要中间转发服务

必要配置步骤 #

1. 目标S3桶跨域配置 #

首先给目标上传桶添加CORS规则，允许界面桶的域名发起跨域请求，示例配置如下：

[
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["PUT", "POST"],
        "AllowedOrigins": ["https://<你的界面桶静态网站访问域名>"],
        "ExposeHeaders": ["ETag"],
        "MaxAgeSeconds": 3000
    }
]

2. 权限配置 #

不要在前端硬编码长期IAM访问密钥，推荐两种安全的权限实现方式：

• 方案1：搭配Amazon Cognito身份池，给访问静态站的用户颁发临时访问凭证，前端用临时凭证调用S3上传接口，对应需要给目标桶配置Bucket Policy，允许Cognito颁发的身份执行s3:PutObject操作，示例策略片段：

{
    "Effect": "Allow",
    "Principal": {
        "Federated": "cognito-identity.amazonaws.com"
    },
    "Action": "s3:PutObject",
    "Resource": "arn:aws:s3:::<你的目标桶名称>/*",
    "Condition": {
        "StringEquals": {
            "cognito-identity.amazonaws.com:aud": "<你的Cognito身份池ID>"
        }
    }
}

• 方案2：如果不需要支持匿名用户上传，可提前生成S3预签名URL返回给前端，前端直接用预签名URL发起PUT请求上传文件，不需要额外配置前端凭证。

额外优化点 #

• 前端可以直接实现文件类型、大小校验逻辑，不需要后端参与
• 支持分片上传大文件，逻辑全部在前端通过AWS JS SDK实现
• 可配置目标桶上传后的自动触发事件，比如触发Lambda做文件处理，全程仍然不需要运行常驻实例

内容的提问来源于stack exchange，提问作者Bemz