S3 Bucket文件403访问报错及上传文件自动公开设置咨询

针对你提出的两个S3相关问题，我整理了详细的排查和解决方法，希望能帮到你：

403 Forbidden错误在S3中通常和权限控制直接相关，针对公众访问场景，常见原因包括：

• 桶级公共访问被阻止：AWS默认会为新桶开启「阻止所有公共访问」设置，如果这个开关没关掉，哪怕你配置了ACL或桶策略，公众也无法访问，直接返回403。你可以在桶的「权限」页面找到「阻止公共访问」选项，检查是否有相关限制。
• 对象ACL为私有：默认情况下，上传到S3的文件ACL是private，只有桶所有者能访问。如果没修改对象ACL或通过桶策略授权，公众访问时会触发403。
• 桶策略未授权公众读取：如果桶策略中没有允许Principal: "*"执行s3:GetObject的语句，或者存在优先级更高的Deny语句，会导致访问被拒绝。
• 对象所有权设置冲突：如果桶的「对象所有权」设置为「Bucket owner enforced」，此时对象ACL会被禁用，所有权限由桶策略和IAM控制。如果桶策略没授权公众访问，就会返回403。
• 防盗链或请求签名问题：如果桶配置了防盗链规则，请求的Referer头部不符合要求会被拒绝；如果使用了预签名URL，URL过期或签名错误也会触发403。
• 存储类限制：如果文件存储在Glacier或Glacier Deep Archive这类归档存储类，未完成恢复操作就直接访问，会返回403。

根据你的需求（避免额外API调用设置权限），有两种最直接的解决方案，你可以根据桶的配置选择：

方案一：设置桶的默认对象ACL为公开读取 #

这种方式会让所有新上传的文件自动继承public-read的ACL，步骤如下：

1. 进入S3控制台，打开目标桶的「权限」页面。
2. 找到「对象所有权」设置，确保选择的是「ACLs enabled」（如果是「Bucket owner enforced」，ACL会被禁用，此方案不适用）。
3. 在「默认对象权限」区域，点击「添加权限」，选择「Everyone (public access)」，勾选「读取」权限，保存设置。
4. 如果你用AWS CLI批量配置，可以执行命令：

   aws s3api put-bucket-acl --bucket your-bucket-name --default-object-acl public-read
   

方案二：配置桶策略允许公众读取所有对象 #

这种方式不需要依赖对象ACL，直接通过桶策略授权公众访问所有对象，更适合「Bucket owner enforced」的场景：

1. 在桶的「权限」页面，找到「桶策略」编辑器。
2. 填入以下策略（替换your-bucket-name为你的桶名）：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::your-bucket-name/*"
       }
     ]
   }
   

3. 保存策略前，确保已经关闭了「阻止公共访问」中对应的限制（比如取消勾选「阻止所有公共访问」或允许桶策略公开访问）。

注意事项 #

• 开启公共访问前，请确认桶内的所有内容都适合公开，避免敏感数据泄露。
• 如果你的桶需要同时兼容私有和公开文件，建议用方案一，这样可以在上传时灵活指定ACL；如果所有文件都需要公开，方案二更简洁，无需维护对象ACL。

内容的提问来源于stack exchange，提问作者Mike