如何通过Cognito与IAM安全从私有S3加载m3u8到AVPlayer？

结合你已经配置的Cognito用户池和IAM角色，我们可以通过临时凭证+预签名URL的方式实现安全加载，具体步骤如下：

1. 补全IAM角色的关键权限 #

从你提供的IAM策略来看，目前缺少了读取S3对象的核心权限s3:GetObject——这是AVPlayer获取m3u8文件和视频分片的必要条件。建议把策略更新为更精准的版本（避免用*作为资源，缩小权限范围）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowListBucket",
      "Effect": "Allow",
      "Action": ["s3:ListObjects", "s3:ListBucket"],
      "Resource": "arn:aws:s3:::your-bucket-name"
    },
    {
      "Sid": "AllowGetObject",
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket-name/*"
    }
  ]
}

注意替换your-bucket-name为你的实际存储桶名称，确保权限只针对目标桶，遵循最小权限原则。

2. 获取Cognito登录用户的临时凭证 #

既然已经通过Cognito用户池实现了用户登录，接下来需要用AWS iOS SDK获取当前登录用户的临时AWS凭证（包含Access Key、Secret Key和Session Token）。示例代码大致如下：

import AWSCognitoIdentityProvider
import AWSCognito

// 获取当前已登录的用户
guard let userPool = AWSCognitoIdentityUserPool(forKey: "YourUserPoolKey"),
      let currentUser = userPool.currentUser(),
      currentUser.isSignedIn else {
    // 处理未登录情况
    return
}

// 获取身份池凭证
let credentialsProvider = AWSCognitoCredentialsProvider(regionType: .yourRegion,
                                                        identityPoolId: "your-identity-pool-id",
                                                        identityProviderManager: userPool)
AWSServiceManager.default().defaultServiceConfiguration = AWSServiceConfiguration(region: .yourRegion, credentialsProvider: credentialsProvider)

// 获取临时凭证
credentialsProvider.getIdentityId().continueWith(block: { task in
    if let error = task.error {
        print("获取凭证失败: \(error)")
        return nil
    }
    // 凭证已准备好，接下来生成预签名URL
    self.generatePresignedURLs()
    return nil
})

3. 生成S3对象的预签名URL #

AVPlayer无法直接使用临时凭证发起请求，所以需要为m3u8文件和所有视频分片生成预签名URL——这是一种带签名的临时URL，有效期内可以直接访问私有S3对象，无需额外凭证。

用AWS SDK的AWSS3PreSignedURLBuilder生成单个对象的预签名URL：

func generatePresignedURL(forKey key: String) -> URL? {
    let s3 = AWSS3.default()
    let request = AWSS3GetObjectRequest()
    request?.bucket = "your-bucket-name"
    request?.key = key
    request?.expires = Date(timeIntervalSinceNow: 3600) // 有效期1小时，可根据需求调整
    
    do {
        let presignedURL = try s3.getPreSignedURL(request!)
        return presignedURL as URL
    } catch {
        print("生成预签名URL失败: \(error)")
        return nil
    }
}

4. 处理m3u8文件中的分片路径 #

m3u8文件里通常包含相对路径的视频分片（比如video_1.ts），这些分片同样需要生成预签名URL。你需要：

1. 先获取原始m3u8文件的预签名URL，下载其内容
2. 解析m3u8内容，找到所有分片的路径
3. 为每个分片生成预签名URL，替换原m3u8中的路径
4. 将修改后的m3u8内容保存到本地临时文件，或者直接用内存中的数据生成URL

示例代码（简化版）：

func processM3U8(m3u8Key: String) {
    guard let m3u8URL = generatePresignedURL(forKey: m3u8Key) else { return }
    
    // 下载原始m3u8内容
    URLSession.shared.dataTask(with: m3u8URL) { data, _, error in
        guard let data = data, let originalContent = String(data: data, encoding: .utf8) else { return }
        
        // 匹配分片路径（假设分片是.ts文件，根据实际格式调整正则）
        let regex = try! NSRegularExpression(pattern: "(\\S+\\.ts)", options: [])
        let modifiedContent = regex.stringByReplacingMatches(in: originalContent,
                                                             range: NSRange(originalContent.startIndex..., in: originalContent),
                                                             withTemplate: { match in
            let originalPath = String(originalContent[Range(match.range, in: originalContent)!])
            // 拼接分片的完整S3 key（假设m3u8和分片在同一目录下）
            let fragmentKey = "\(m3u8Key.components(separatedBy: "/").dropLast().joined(separator: "/"))/\(originalPath)"
            return generatePresignedURL(forKey: fragmentKey)?.absoluteString ?? originalPath
        })
        
        // 将修改后的m3u8保存到本地临时文件
        let tempDir = NSTemporaryDirectory()
        let tempFileURL = URL(fileURLWithPath: tempDir).appendingPathComponent("processed.m3u8")
        try? modifiedContent.write(to: tempFileURL, atomically: true, encoding: .utf8)
        
        // 加载到AVPlayer
        DispatchQueue.main.async {
            let playerItem = AVPlayerItem(url: tempFileURL)
            let player = AVPlayer(playerItem: playerItem)
            // 后续播放逻辑...
        }
    }.resume()
}

5. 加载到AVPlayer #

最后，将处理好的m3u8 URL（本地临时文件URL）传给AVPlayerItem，即可安全播放私有S3中的视频内容。

额外注意事项 #

• 预签名URL的有效期不要设置过短，否则播放到一半URL过期会导致中断；也不要过长，避免安全风险。
• 如果你的m3u8是自适应码率（HLS）的，需要确保所有码率层级的m3u8和分片都生成预签名URL。
• 确保Cognito身份池已正确关联用户池，且已登录用户能获取到你配置的具备S3权限的IAM角色。

内容的提问来源于stack exchange，提问作者ADebOut