如何为Web应用限制Amazon S3访问？实现IP隔离与令牌访问控制

阿华AIGC实验室

2026-5-22

嘿，这个问题问到点子上了！这正是Amazon S3权限控制里很典型的用户隔离场景，我给你整理两种最实用的方案：

方案一：通过IP地址限制特定用户访问对应文件

如果你的用户（比如Hans和Tina）的客户端IP是固定的，那可以通过S3存储桶策略实现IP与文件路径的绑定隔离。

具体思路是：给每个用户分配独立的文件前缀（比如Hans的文件都存在s3://your-bucket/hans/下，Tina的存在s3://your-bucket/tina/），然后在存储桶策略里添加规则，只允许Hans的IP访问hans/前缀下的文件，只允许Tina的IP访问tina/前缀下的文件。

举个存储桶策略的例子：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": "arn:aws:s3:::your-bucket/hans/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "Hans的固定IP/32"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": "arn:aws:s3:::your-bucket/tina/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "Tina的固定IP/32"
        }
      }
    }
  ]
}

不过要注意：这种方式只适合用户IP固定的场景，如果用户是动态IP（比如家用宽带），这个方案就不太靠谱了。

方案二：上传前获取预签名URL（临时访问令牌）实现隔离

这是更灵活、更推荐的方案，完全不受IP限制，能精准控制每个用户只能访问自己的文件。

流程是这样的：

用户（比如Hans）先在你的Web应用上完成身份验证（登录），确认他的身份。
Web应用后端调用AWS SDK，生成一个预签名上传URL，这个URL只针对Hans要上传的235325.json，并且只有PUT权限，还有过期时间（比如1小时）。
Hans的客户端用这个预签名URL直接上传文件到S3，不需要持有AWS密钥。
当Hans需要查看自己的文件时，后端再生成一个预签名下载URL给他，同样只针对他的文件，权限是GET，过期时间可控。

而Tina那边，后端只会生成属于她的3453453.json的预签名URL，这样双方完全看不到对方的文件。

举个用Python boto3生成预签名上传URL的例子：

import boto3
from botocore.config import Config

s3_client = boto3.client('s3', config=Config(signature_version='s3v4'))

def generate_presigned_upload_url(bucket_name, object_key):
    url = s3_client.generate_presigned_url(
        'put_object',
        Params={'Bucket': bucket_name, 'Key': object_key},
        ExpiresIn=3600  # 1小时过期
    )
    return url

# 给Hans生成235325.json的上传URL
hans_upload_url = generate_presigned_upload_url('your-bucket', 'hans/235325.json')