如何在AWS或GCP上为静态站点配置非公开CSV的专属访问权限

你的需求完全可以落地，根本不需要在“CSV全公开/全拦截”的状态中二选一。你提出的“静态资源、CSV数据分属独立存储桶”的架构，是符合最小权限原则的标准生产方案，不存在架构层面的阻碍。
之前遇到的配置困境，本质是漏掉了中间鉴权环节：如果让前端页面的JS直接跨域请求存储桶里的CSV，就只能二选一——要么给桶开公共读（所有人都能下）、要么完全关公共权限（前端也拿不到）。实际上完全可以通过中间代理、短时授权的方式，让前端能正常读取CSV，同时拦截所有外部用户的直接下载请求。

两个存储桶完全隔离职责，不存在权限交叉：

• 第一类桶（静态资源桶）：仅存放HTML、CSS、JS等前端静态文件，通过CDN对外提供访问，不需要存任何敏感数据
• 第二类桶（敏感CSV桶）：开启全量公共访问拦截，不对外暴露任何直连端点，所有对该桶的访问请求，都必须经过鉴权校验后才能读取内容

AWS 实现路径 #

不要让前端JS直接请求非公开S3桶的地址，可按运维复杂度从低到高选择两种成熟方案：

1. CloudFront边缘函数代理
   • 给静态站点绑定CloudFront分发，配置两个路由规则：
     • 静态资源路由回源到第一类静态资源桶
     • 新增/api/csv-export同源路由，触发CloudFront Function或Lambda@Edge逻辑：函数内部通过绑定的IAM角色权限，从第二类CSV桶拉取最新文件，校验请求来源是绑定的静态站点域名、无异常爬取特征后，再把CSV内容透传给前端
   • 权限配置：给CSV桶开启全量公共访问块，仅给CloudFront关联的IAM角色授予文件读取权限。外部用户哪怕猜到了S3桶的直连地址、或者直接请求/api/csv-export路径，没有通过来源校验也拿不到内容。
   • 实际效果：前端JS只需要请求同源的/api/csv-export路径就能拿到CSV数据，全程不知道CSV桶的存在；外部用户哪怕扒走了全部前端代码，也找不到CSV桶的直连地址，直接访问S3的CSV链接会返回403。
2. 短时效预签名URL签发
   • 前端请求获取CSV时，通过后端Lambda生成有效期仅1~5分钟的S3预签名URL，把临时URL返给前端，JS用这个临时地址拉取CSV内容；时效到了之后URL自动失效。
   • 注意事项：绝对不能把预签名URL硬编码在静态HTML/JS文件里，必须通过接口动态返回，否则URL泄露后在有效期内任何人都能下载文件。

Google Cloud 实现路径 #

逻辑和AWS完全对齐，组件按GCP生态替换即可：

• 静态资源通过Cloud Storage + Cloud CDN托管，敏感CSV存入独立的GCS桶，开启全量公共访问拦截
• 配置Cloud Functions或Cloud Run作为代理层：前端发起同源的CSV获取请求时，代理端校验请求来源，通过绑定的服务账号权限，从非公开GCS桶拉取文件内容返回给前端
• 同样支持短时效签名URL动态签发逻辑：服务端生成1~5分钟有效的临时签名链接，动态返回给前端，不嵌入静态资源文件

• 不要给CSV桶配置允许所有来源的CORS读权限，否则等于变相把非公开桶改成了公共可读
• 不要给CSV桶绑定任何公共HTTP访问端点，所有请求必须经过带鉴权逻辑的代理层
• 定期校验桶的公共访问拦截开关状态，从存储层硬拦截所有绕过鉴权的请求，哪怕权限配置写错也不会出现数据泄露
• 客户更新CSV时，只需要往非公开桶内替换最新文件即可，不需要修改静态站点配置，前端拉取时永远能拿到最新版本

内容的提问来源于stack exchange，提问作者OverlordEgg