如何校验并优化支持网站图片访问的AWS S3 Bucket安全配置？

1. 关于你对CORS的认知误区 #

CORS根本不是S3服务端的访问权限控制机制，这是你理解偏差的根本原因：

• CORS是浏览器自带的安全规则，作用是限制网页端JS跨域读取资源的行为，完全不参与S3的服务端鉴权流程
• 你直接在浏览器地址栏输入图片URL访问时，这个请求属于顶级页面导航，根本不会触发CORS的跨域校验逻辑，自然能正常打开
• CORS规则里的AllowedOrigins，只会影响“其他站点的网页通过JS加载你的图片并读取像素/内容”的场景，管不住普通<img>标签嵌入、直接URL访问、爬虫抓取的行为

你测试直接复制图片链接能打开，是完全符合预期的正常现象，不是配置出了问题。

2. 现有配置的遗漏与风险 #

对照你贴的配置，目前存在三个明确的风险点：

• 现有Bucket Policy给了通配主体*的全量s3:GetObject权限，等于整个桶下的所有对象只要拿到URL，任何人在任何场景都能访问，没有任何访问约束
• CORS规则里开放了PUT/POST跨域方法但没有额外限制，只要来源匹配你配置的两个域名，任何页面都能发起跨域上传请求，没有绑定用户身份校验
• 没有配置任何防盗链规则，容易被第三方站点盗刷图片流量，产生不必要的公网带宽费用
• 没有开启基础安全能力，出现异常访问时没有可追溯的日志依据

3. 匹配你核心需求的S3安全加固方案 #

你的核心要求是：网站用户能正常查看图片、仅允许你的站点完成图片上传，对应可落地的方案按优先级梳理：

图片访问控制优化 #

• 把原来的全公开读权限替换为带Referer条件的桶策略：在原有读权限的语句中增加条件块，只允许请求头中Referer匹配你站点域名的请求通过，同时兼容空Referer的正常直接访问场景，从S3层拦截第三方站点的盗链行为
• 如果需要更高的安全等级，完全关闭S3的公网读权限，改用预签名URL模式：由你的网站后端动态生成带时效的图片访问链接，只有登录用户才能拿到有效访问地址，链接过期后自动失效，从根源上避免公开URL泄露后的无限期访问问题

图片上传控制优化 #

• 精简CORS规则：移除不需要的跨域方法，给保留的上传方法增加约束（比如允许的请求头类型、最大上传文件大小）
• 不要向前端分发长期有效的IAM上传凭证，改用STS临时凭证模式：由网站后端给登录用户生成短时效（建议15分钟以内）的临时上传权限，严格限制可上传的路径范围（比如仅允许对应用户ID的专属目录），禁止跨用户覆盖其他文件的权限
• 增加桶策略的拒绝规则：对所有PutObject请求，除了合法的临时凭证身份之外，全部默认拒绝

基础安全加固 #

• 开启S3的Block Public Access中所有和公开ACL、跨账户公开权限相关的拦截项，避免后续误配置导致权限泄露
• 开启S3服务器访问日志，将所有桶的访问记录存储到独立的日志存储桶，方便后续排查异常访问
• 为桶配置默认的服务端加密，所有上传对象自动加密存储
• 优先将S3作为CloudFront的私有源，通过CloudFront的OAI身份访问S3内容，关闭S3本身的公网访问权限，在CDN层叠加WAF、访问频率限制、Referer校验能力，比直接暴露S3公网访问的安全等级高很多

内容的提问来源于stack exchange，提问作者Ten Digit Grid