AWS S3静态网站API令牌保护：仅允许应用访问，屏蔽公网用户

咱先把本质说透：只要你的S3桶是全员公开的，任何存在前端可访问的JS、HTML、CSS里的认证令牌，用户都能通过查看页面源码、浏览器开发者工具的网络请求或者本地缓存文件轻松拿到——这是前端资源的特性，根本藏不住。所以要实现「令牌对用户不可见，但应用能正常调用API」，必须调整架构，把令牌从前端移到后端中间层。

下面给你捋两个靠谱方案，按推荐优先级排序：

方案1：用AWS API Gateway + Lambda做中间代理层（最优解，贴合AWS生态） #

这是最安全也最符合AWS最佳实践的方式，步骤很清晰：

• 把你的认证令牌存到AWS Secrets Manager或者Systems Manager Parameter Store里（别直接塞Lambda代码里，不安全）
• 写一个Lambda函数：在函数内部从Secrets Manager/Parameter Store取出令牌，然后用这个令牌去调用你的目标API
• 把Lambda集成到API Gateway，创建一个公开的API端点
• 前端静态网站不再直接调用目标API，转而调用这个API Gateway的端点
• 这样一来，用户只能看到API Gateway的公开地址，真正的认证令牌全程在后端Lambda里处理，完全不会暴露给前端

关键配置细节： #

• 给Lambda函数配置最小权限的IAM角色：只允许它读取你存令牌的那个Secret/Parameter，别给多余权限
• API Gateway要开启CORS，允许你的S3静态网站域名访问这个端点
• 还可以给API Gateway加使用计划和API密钥，进一步限制谁能调用这个代理接口（可选，看你需求）

方案2：用CloudFront签名URL保护令牌文件（仅作补充，不推荐） #

如果实在不想加后端层，也可以试试这个方法，但有明显局限性：

• 建一个单独的S3文件夹，把存令牌的配置文件放进去，关闭这个文件夹的公开访问权限
• 用CloudFront作为S3网站的CDN，给这个令牌文件配置CloudFront签名URL或者签名Cookie
• 前端通过Lambda@Edge（CloudFront的边缘函数）动态生成签名URL，来获取令牌文件

但这个方案的问题在于：用户只要拿到签名URL，还是能直接访问令牌文件——本质上只是加了点门槛，不如方案1从架构上彻底解决问题。

绝对别踩的坑 #

• 别想着用JS混淆、加密来藏令牌：混淆只是增加了阅读难度，懂点技术的用户分分钟解密；加密的话，解密密钥还得放前端，等于白忙活
• 别把令牌改个奇怪的文件名藏在S3公开桶里：用户要么能遍历桶（如果开了公开列表），要么能通过网络请求找到它，根本藏不住

总结下：最优方案就是用API Gateway + Lambda做中间代理，把令牌放在后端安全存储里，这是从根上解决令牌暴露问题的办法，也是AWS官方最推荐的实践。

内容的提问来源于stack exchange，提问作者nmt