如何配置S3/GCS权限：用户可编辑自有图片，其余仅只读访问

嘿，这个需求在移动应用里太常见了，我来给你详细拆解AWS S3和Google Cloud Storage各自的实现方案——两种都能完美满足你的权限逻辑，完全不用局限于预先定义的IAM角色~

核心思路是：让所有图片默认公开可读，同时给每个上传者单独分配仅属于自己的修改权限。

• 第一步：设置存储桶默认公开可读
  你可以通过桶策略实现所有对象的公开访问，这样所有用户都能直接查看图片。示例桶策略如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::your-bucket-name/*"
      }
    ]
  }
  

  小提醒：如果不想让整个桶的内容都公开，可以给图片加特定前缀（比如public-images/*），把Resource字段改成对应路径即可。

• 第二步：给上传者分配专属修改权限
  因为你的用户是动态的（不是预先已知的团队成员），推荐用以下两种方式：

  1. 对象级ACL绑定用户身份
     移动应用通常用AWS Cognito管理用户身份，每个用户有唯一的身份ID。上传图片时，在请求中附带ACL参数，既设置图片为公开可读，又给自己添加全权限：

     // 以AWS JS SDK为例
     s3.putObject({
       Bucket: 'your-bucket-name',
       Key: 'user-uploads/image.jpg',
       Body: file,
       ACL: 'public-read',
       GrantFullControl: 'id="用户的Cognito身份ID"'
     })
     

  2. 基于标签的桶策略（更易维护）
     上传图片时给对象添加标签（比如uploaderId: "用户Cognito身份ID"），然后在桶策略里添加规则：允许用户修改带有自己ID标签的对象：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": "arn:aws:cognito-identity:你的区域:你的账号ID:identitypool/你的身份池ID"
           },
           "Action": ["s3:PutObject", "s3:DeleteObject", "s3:PutObjectAcl"],
           "Resource": "arn:aws:s3:::your-bucket-name/*",
           "Condition": {
             "StringEquals": {
               "s3:ExistingObjectTag/uploaderId": "${cognito-identity.amazonaws.com:sub}"
             }
           }
         }
       ]
     }
     

关键安全提醒：移动应用绝对不能硬编码IAM用户密钥，一定要用Cognito身份池给用户分配临时权限！

思路和S3一致，不过GCS结合Firebase会更省心，当然也可以纯用GCS配置：

• 第一步：设置存储桶默认公开可读
  通过IAM给allUsers添加Storage Object Viewer角色，让所有对象默认允许公开读取：

  # 用gsutil命令行设置
  gsutil iam ch allUsers:objectViewer gs://your-bucket-name
  

• 第二步：给上传者分配专属修改权限
  推荐用Firebase Auth管理用户身份（和移动应用集成更丝滑），两种实现方式：

  1. 对象级IAM权限
     上传图片时，给当前用户添加Storage Object Admin权限：

     # 以Python SDK为例
     from google.cloud import storage
     
     storage_client = storage.Client()
     bucket = storage_client.bucket('your-bucket-name')
     blob = bucket.blob('user-uploads/image.jpg')
     blob.upload_from_file(file)
     
     # 给上传者添加全权限
     blob.acl.user("用户的Firebase Auth UID").grant_full_control()
     blob.acl.save()
     

  2. 基于元数据的条件IAM（更优雅）
     上传时给对象添加元数据x-goog-meta-uploader-id: 用户Firebase UID，然后在桶的IAM政策里添加条件规则：

     {
       "bindings": [
         {
           "role": "roles/storage.objectAdmin",
           "members": ["serviceAccount:你的服务账号"],
           "condition": {
             "title": "仅允许上传者修改自己的图片",
             "expression": "resource.metadata.uploaderId == request.auth.uid"
           }
         }
       ]
     }
     

额外福利：如果用Firebase Storage，它自带的规则可以直接实现你的需求，不用手动配置IAM/ACL：

service firebase.storage {
  match /b/{bucket}/o {
    match /images/{imageId} {
      allow read: if true; // 所有人可读
      allow write: if request.auth.uid == resource.metadata.uploaderId; // 仅上传者可修改
    }
  }
}

内容的提问来源于stack exchange，提问作者Rasto