基于OpenStack Swift的媒体权限管控：预签名URL是否可行？

针对你在OVH OpenStack Swift上的媒体存储权限需求，我来逐一拆解你的问题：

答案是完全适用，甚至刚好匹配你的两种图片权限场景，安全性也完全达标，具体分析如下：

匹配你的权限需求 #

• 图片[A]场景：你需要所有用户可查看，但仅所有者能删除。你可以把存放图片A的Swift容器设为公开可读（这样任何用户无需认证就能直接访问图片），而删除操作则通过预签名URL实现——只有所有者用自己的凭证生成带DELETE方法的预签名URL，才能执行删除，有效期可以设短一点（比如15分钟），避免链接泄露后被滥用。
• 图片[B]场景：私密资源仅所有者能CRUD，部分指定用户可查看。预签名URL刚好能解决“临时授权指定用户查看”的需求：所有者可以给指定用户生成带GET方法的预签名URL，设置合适的有效期（比如几小时到几天），用户凭借这个链接就能查看图片，无需拥有Swift的永久权限，也不会泄露所有者的凭证。

安全性达标原因 #

预签名URL的核心逻辑是基于用户的Keystone凭证（密钥）生成的加密签名，只有持有有效签名且在有效期内的请求才会被Swift接受：

• 你可以严格控制URL的HTTP方法（比如只允许GET，就只能查看；只允许DELETE，就只能删除），避免越权操作；
• 可以设置有效期，过期后链接自动失效，就算链接不慎泄露，风险也可控；
• 不需要把用户的永久凭证共享给第三方，完全符合最小权限原则。

什么时候可能不适用？ #

如果你的需求是给某些用户长期、固定的查看权限（比如某个团队成员需要永久查看某类图片B），这时每次生成预签名URL会比较繁琐，反而不如通过Keystone给用户分配对应容器/对象的角色权限更高效。但你的描述里是“部分指定用户可查看”，看起来更偏向临时授权，所以预签名URL是最优解。

基于OpenStack Swift的图片缩略图生成，通常是以下流程（可以结合OVH的云服务实现无服务器化）：

• 触发处理：当用户上传原图到Swift后，可以通过Swift的对象创建事件通知（比如绑定到OVH的消息队列服务），或者在你的业务代码里直接调用处理服务，触发缩略图生成任务。
• 拉取原图：处理服务通过Keystone认证（用服务账号的凭证），或者用预签名URL，从Swift下载原图到本地临时目录。
• 生成缩略图：用图片处理工具（比如ImageMagick、Python的Pillow库）对原图进行缩放、格式转换等操作，生成符合要求的缩略图。
• 回存到Swift：把生成的缩略图上传到Swift的指定位置——可以是单独的缩略图容器（比如images-thumbnails），也可以和原图同容器但用命名规则区分（比如original.jpg对应original_thumb.jpg）。
• 清理本地文件：删除临时下载的原图和生成的缩略图，避免占用处理服务的存储资源。
• 更新业务数据：可选步骤，比如在你的数据库里记录缩略图的Swift存储路径，方便后续前端调用。

如果不想自己维护处理服务器，也可以用OVH的无服务器函数服务来实现这个流程，上传图片自动触发函数执行处理，成本更低也更省心。

内容的提问来源于stack exchange，提问作者musicformellons