PHP无法访问S3中SES存储的邮件对象，需手动设置公开权限

看起来你遇到的核心问题是桶策略和对象ACL的理解偏差，导致PHP脚本只能在手动设置对象公开后才能访问内容。我来拆解一下原因，再给你两种可行的解决思路：

为什么桶策略没生效？ #

你提到配置了桶策略想让文件夹内对象自动公开，但这里有个关键误区：桶策略只是授予外部访问的权限，不会自动修改对象本身的ACL（访问控制列表）。S3对象默认的ACL是「私有」，也就是说即使桶策略允许匿名访问，对象本身的私有ACL会优先拒绝匿名请求——这就是为什么你手动把对象设为公开（修改了对象ACL为「公开读」）后脚本才能正常工作。

解决方案一：让SES自动存储公开可读的对象（符合你原本的需求） #

既然你想用公开访问的方式，那可以直接让SES在把邮件存储到S3时，自动给对象设置「公开读」的ACL，不需要依赖桶策略（或者配合桶策略一起用）：

• 打开SES控制台，找到你创建的邮件接收规则
• 编辑「存储到S3」的操作步骤
• 在「对象权限」选项里，选择「授予所有用户对对象的读权限」（不同区域界面可能略有差异）
• 保存规则后，新存储的邮件对象就会自动带有公开读的ACL，PHP脚本直接通过对象URL访问就能获取内容了

如果是已经存储的旧对象，你可以用AWS CLI批量修改ACL：

aws s3 cp s3://your-bucket/your-folder/ s3://your-bucket/your-folder/ --recursive --acl public-read

解决方案二：用IAM凭证安全访问S3（更推荐，避免公开风险） #

其实公开S3对象是非常不安全的做法，更稳妥的方式是给PHP脚本配置IAM权限，让它通过AWS SDK直接访问S3，不需要依赖公开访问：

步骤1：配置IAM权限 #

给PHP脚本所在的环境（比如EC2实例、IAM用户）添加以下权限策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::your-bucket-name",
        "arn:aws:s3:::your-bucket-name/*"
      ]
    }
  ]
}

• 如果是在AWS云环境（比如EC2、ECS），直接给实例/任务绑定IAM角色就行，不需要手动配置密钥；如果是本地运行，就给IAM用户生成Access Key和Secret Key，在脚本里配置。

步骤2：修改PHP脚本用AWS SDK访问 #

用AWS SDK for PHP来获取对象内容，示例代码如下：

require 'vendor/autoload.php';

use Aws\S3\S3Client;
use Aws\Exception\AwsException;

// 初始化S3客户端（AWS环境下无需密钥，本地运行则添加'credentials'参数）
$s3Client = new S3Client([
    'version' => 'latest',
    'region' => 'us-east-1' // 替换成你的桶所在区域
]);

$bucketName = 'your-bucket-name';
$folderPrefix = 'your-folder/'; // 如果要指定文件夹，添加这个参数

try {
    // 列出指定文件夹下的对象
    $objects = $s3Client->listObjectsV2([
        'Bucket' => $bucketName,
        'Prefix' => $folderPrefix
    ]);

    // 初始化MySQL连接
    $pdo = new PDO(
        'mysql:host=your-db-host;dbname=your-db-name;charset=utf8mb4',
        'db-username',
        'db-password'
    );
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 遍历对象并存入数据库
    foreach ($objects['Contents'] as $object) {
        $objectKey = $object['Key'];
        // 跳过文件夹本身（如果存在）
        if (substr($objectKey, -1) === '/') continue;

        // 获取对象内容
        $result = $s3Client->getObject([
            'Bucket' => $bucketName,
            'Key' => $objectKey
        ]);
        $emailContent = $result['Body']->getContents();

        // 插入数据库
        $stmt = $pdo->prepare(
            "INSERT INTO your_table (object_key, email_content) VALUES (:key, :content)"
        );
        $stmt->execute([
            ':key' => $objectKey,
            ':content' => $emailContent
        ]);
    }

    echo "所有对象已成功存入数据库！";
} catch (AwsException $e) {
    echo "S3访问错误: " . $e->getMessage() . "\n";
} catch (PDOException $e) {
    echo "数据库操作错误: " . $e->getMessage() . "\n";
}

这种方式不需要公开任何对象，安全性更高，也能彻底解决你现在的问题。

内容的提问来源于stack exchange，提问作者Jayreis