S3文件出现AccessDenied错误怎么办？如何设置文件夹只读权限？

我之前也碰到过一模一样的糟心事——之前系统运行好好的，突然部分S3上传的文件读不了，报AccessDenied，又不想把整个文件夹设成公开给所有人。结合你提到的Gemfile、CarrierWave配置和那个具体的PDF URL，给你几个实用的解决方向：

先排查基础配置问题 #

• 先看你的carrierwave.rb：检查有没有config.fog_public = true的设置？如果之前是默认私有（false），那上传的文件本身就是私有权限，直接访问裸URL肯定会报错。
• 去AWS控制台查文件ACL：找到你的mycompany-production桶，定位到那个PDF文件，看它的权限详情，确认是不是没有给需要读取的实体（比如你的应用IAM角色、特定服务账号）授予s3:GetObject权限。

方案1：用IAM策略给应用角色加细粒度只读权限（最推荐） #

不想公开文件夹的话，最安全的方式是给你的应用服务器使用的IAM角色添加针对性的读取权限，而不是开放给所有人。比如创建这样的IAM策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::mycompany-production/uploads/coaching/attachment/*"
    }
  ]
}

把这个策略附加到应用用的IAM角色上，这样只有你的应用能读取uploads/coaching/attachment/下的所有文件，既保证了只读访问，又完全不会公开给外部无关人员。

方案2：调整CarrierWave生成签名URL（适用于私有ACL文件） #

如果你的文件上传时是私有ACL（也就是config.fog_public = false），那直接访问你贴的那个URL肯定会被拒绝。这时候你需要在Rails代码里生成带签名的临时URL，比如：

# 在视图或者控制器里调用
@coaching.attachment.url(expires_in: 1.hour)

CarrierWave会自动生成包含AWS签名的临时URL，有效期你可以自己设置（比如1小时），用户在有效期内就能正常访问，完全不用公开文件权限。

方案3：用Bucket Policy实现条件式只读（适合外部特定访问场景） #

如果需要让特定IP段或者外部特定用户访问这个文件夹的文件，又不想全公开，可以用Bucket Policy加条件限制。比如只允许公司内网IP访问：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::mycompany-production/uploads/coaching/attachment/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "192.168.1.0/24"
        }
      }
    }
  ]
}

这种方式既满足了只读需求，又把访问范围严格限制在你指定的条件内，比公开文件夹安全多了。

调试小技巧 #

• 用AWS CLI快速验证权限：拿你的应用IAM角色凭证执行这条命令，看看能不能下载文件：

  aws s3 cp s3://mycompany-production/uploads/coaching/attachment/1735/File-Uploaded-0001.pdf /tmp/test.pdf
  

  如果能成功，说明权限没问题，大概率是代码里的URL生成逻辑有问题；如果失败，会给出具体的权限缺失提示。
• 查CloudTrail日志：要是还是找不到问题，去AWS CloudTrail里搜这个文件的访问记录，里面会详细记录哪个身份发起的请求、为什么被拒绝，能帮你快速定位根因。

内容的提问来源于stack exchange，提问作者fro_oo