Django对接Amazon S3时如何为所有文件添加查询字符串身份验证

方案1：开启全局S3 URL自动签名（优先尝试） #

确认你的settings.py中已经添加以下配置，强制django-storages为所有S3资源生成带签名参数的URL：

# S3基础配置
AWS_S3_REGION_NAME = "你的S3区域码（如us-east-2）"
AWS_ACCESS_KEY_ID = "你的AWS访问密钥ID"
AWS_SECRET_ACCESS_KEY = "你的AWS秘密访问密钥"
AWS_STORAGE_BUCKET_NAME = "你的S3存储桶名称"

# 核心签名配置
AWS_QUERYSTRING_AUTH = True
# 签名有效期，单位为秒，可根据业务需求调整
AWS_QUERYSTRING_EXPIRE = 3600

# 静态文件存储后端配置
STATICFILES_STORAGE = 'storages.backends.s3boto3.S3Boto3Storage'

如果配置后仍出现动态加载资源无签名的问题，是因为这类资源是在静态文件（如base.css、JS脚本）中通过相对路径引用的，路径写死在静态文件内容里，不会自动追加签名，可选择以下两种方案解决： #

方案2：配置S3静态资源公开读（无敏感静态资源推荐） #

如果你的静态资源没有敏感内容，直接配置S3桶策略允许/static/前缀下的资源匿名访问，无需签名即可访问：

1. 打开S3存储桶的权限配置，添加如下桶策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadStaticFiles",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::你的存储桶名称/static/*"
        }
    ]
}

2. 修改settings.py配置，关闭签名生成：

AWS_QUERYSTRING_AUTH = False

方案3：静态文件内部引用路径替换（不公开静态资源适用） #

如果不允许公开静态资源，可通过以下方式处理内部引用：

• 静态文件中的相对路径引用改为使用Djangostatic模板标签生成的完整带签名URL
• 前端构建时使用webpack、django-compressor等工具，自动将静态资源内部的相对路径替换为带签名的完整S3 URL
• 仅针对Django管理后台的静态文件，可在urls.py中添加单独路由，让admin静态文件走Django自身服务，不走S3：

from django.conf import settings
from django.conf.urls.static import static

urlpatterns = [
    # 其他业务路由
    path('admin/', admin.site.urls),
] + static(settings.STATIC_URL + 'admin/', document_root=settings.STATIC_ROOT + '/admin/')

内容的提问来源于stack exchange，提问作者Nitish