使用预签名URL向S3发起PUT请求遇AccessDenied，如何配置权限？

首先要明确核心逻辑：预签名URL的上传权限完全依赖于生成该URL的IAM实体（比如你的后端服务角色、开发用IAM用户）的权限，而不是靠桶策略开放全局访问。你之前加Principal: *能成功，是因为绕过了IAM的权限校验，但这会让任何人都能上传文件到你的桶，风险极高。

为什么之前会遇到AccessDenied？ #

你遇到403的原因大概率是：生成预签名URL的IAM实体没有被授予s3:PutObject（以及如果需要设置对象ACL的话s3:PutObjectAcl）权限，而桶策略也没有额外允许该操作——两者结合就触发了拒绝。

正确的权限配置步骤（安全且满足需求） #

1. 给生成预签名URL的IAM实体配置最小权限

给生成URL的IAM用户/角色添加如下IAM策略（替换成你的桶名）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        // 如果你的预签名URL需要设置对象ACL（比如公开读），才需要加下面这行
        "s3:PutObjectAcl"
      ],
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    }
  ]
}

这里的关键是最小权限原则：只给生成URL的实体授权，且限制到特定桶的对象路径，不要给全局权限。

2. 移除桶策略中开放的Principal: *权限

立刻删掉桶策略里允许所有用户上传的语句，否则你的桶会变成公开可写状态，数据安全无法保障。

3. 确认CORS配置（你已经做了，但可以优化）

保持CORS允许PUT请求，但建议限制允许的前端域名（不要用*），进一步缩小访问范围：

<CORSConfiguration>
  <CORSRule>
    <AllowedOrigin>https://your-trusted-frontend.com</AllowedOrigin>
    <AllowedMethod>PUT</AllowedMethod>
    <AllowedHeader>*</AllowedHeader>
    <ExposeHeader>ETag</ExposeHeader> <!-- 可选，返回文件的ETag给前端验证 -->
  </CORSRule>
</CORSConfiguration>

4. 生成预签名URL时添加过期时间（额外安全层）

生成URL时设置合理的过期时间（比如30分钟），即使URL不慎泄露，攻击者也只有很短的时间窗口可以使用：
举个Python的boto3示例：

import boto3
s3_client = boto3.client('s3')

presigned_url = s3_client.generate_presigned_url(
    'put_object',
    Params={'Bucket': 'your-bucket-name', 'Key': 'target-object-key'},
    ExpiresIn=1800  # 30分钟过期
)

为什么这样就能限制仅预签名URL可上传？ #

• 预签名URL本质是把生成者的IAM权限“打包”到URL中，只有持有这个有效URL的用户才能执行PUT操作。
• 没有生成权限的实体无法创建有效的预签名URL，自然无法上传文件。
• 结合CORS的域名限制，只有你指定的前端域名才能发起PUT请求，进一步降低风险。

内容的提问来源于stack exchange，提问作者Scofield