Amazon S3存储桶权限配置问题：仅允许Facebook Messenger Bot访问

嘿，我明白你遇到的困扰了——设置了基于引用来源（referer）的存储桶策略，想让只有Facebook Messenger Bot能访问图片，但图片就是加载不出来。我来帮你分析原因并给出可行的解决方案。

为什么你的Referer策略失效了？ #

问题出在Facebook Messenger的图片加载机制上：当用户在Messenger里查看图片时，并不是用户的客户端直接向S3发送请求，而是Facebook的服务器会先代理抓取你的S3图片，缓存后再返回给用户。这时候S3收到的请求来自Facebook的服务器，请求的referer字段可能根本不是你设置的facebook.com或graph.facebook.com——可能是空值，或者是Facebook的CDN域名（比如fbcdn.net系列），甚至是内部服务域名，自然就不符合你的策略条件了。

可行的解决方案 #

方案1：查看实际请求的Referer，更新策略 #

首先你需要确认Facebook服务器请求S3时的真实referer，步骤如下：

• 给你的S3存储桶开启访问日志：在S3控制台找到存储桶，进入「属性」→「服务器访问日志」，启用日志并指定一个目标存储桶来保存日志。
• 等待一段时间（比如10分钟），让Messenger Bot尝试加载图片，然后去日志存储桶里查看访问记录。
• 在日志里找到失败的请求（状态码403），查看referrer字段的值，把这个值添加到你的存储桶策略的aws:Referer条件里。

比如如果日志里显示referer是https://scontent.xx.fbcdn.net，那策略里就要加上这个域名：

{
  "Version": "2012-10-17",
  "Id": "Facebook referer policy",
  "Statement": [
    {
      "Sid": "AllowGetRequestsFromFacebook",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::你的存储桶名称/*",
      "Condition": {
        "StringLike": {
          "aws:Referer": [
            "https://*.facebook.com/*",
            "https://*.graph.facebook.com/*",
            "https://*.fbcdn.net/*"
          ]
        }
      }
    }
  ]
}

方案2：使用预签名URL（更安全可靠） #

基于referer的策略本质上是不可靠的——referer很容易被伪造，而且像Facebook这种代理请求的场景完全不符合预期。更稳妥的方式是给Messenger Bot生成S3预签名URL：

• 在你的Bot代码里，当需要返回图片时，调用AWS SDK生成一个限时有效的预签名URL（比如有效期1小时）。
• 把这个预签名URL返回给Messenger，用户点击时会直接用这个URL访问S3，不需要依赖referer，而且只有持有有效URL的请求才能访问，安全性更高。

比如用Python的boto3生成预签名URL的代码示例：

import boto3
from botocore.config import Config

s3 = boto3.client('s3', config=Config(signature_version='s3v4'))
presigned_url = s3.generate_presigned_url(
    'get_object',
    Params={'Bucket': '你的存储桶名称', 'Key': '用户图片的路径'},
    ExpiresIn=3600  # 有效期3600秒，即1小时
)

方案3：允许Facebook的IP范围（不推荐，但可选） #

如果你确认请求确实来自Facebook的服务器，可以把Facebook公布的IP段添加到策略的IP条件里，但注意Facebook的IP范围会定期更新，需要你手动维护：

• 获取Facebook的官方IP范围后，修改存储桶策略，添加aws:SourceIp条件：

{
  "Version": "2012-10-17",
  "Id": "FacebookIPPolicy",
  "Statement": [
    {
      "Sid": "AllowGetRequestsFromFacebookIPs",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::你的存储桶名称/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": [
            "1.1.1.1/32",  # 替换为Facebook的实际IP段
            "2.2.2.0/24"
          ]
        }
      }
    }
  ]
}

总结 #

最推荐的是方案2（预签名URL），它既安全又不受代理请求的影响；如果坚持用referer策略，就先通过日志找到真实的referer再更新策略；方案3因为IP范围会变化，维护成本高，只作为备选。

内容的提问来源于stack exchange，提问作者jammygb