共享S3桶下实现用户文件隔离，核心是两个关键点：

1. 文件路径前缀隔离：给每个用户分配唯一的前缀（比如user-{用户唯一ID}/），所有该用户的文件都存储在这个前缀下
2. 权限严格控制：确保用户只能访问自己前缀下的文件，禁止跨前缀操作

下面分具体场景和步骤展开：

一、存储结构设计 #

这是基础，必须先确定：

• 用用户的系统唯一ID作为前缀（比如GUID、自增ID），不要用用户名（避免用户名修改、特殊字符或重复问题）
• 示例路径：user-123e4567-e89b-12d3-a456-426614174000/report.pdf、user-123e4567-e89b-12d3-a456-426614174000/avatar.png
• 如果需要按文件类型分类，可以在用户前缀下再细分：user-{userId}/documents/、user-{userId}/images/

二、权限控制方案（两种主流场景） #

根据你的应用架构，选择适合的方案：

场景1：后端代理上传/下载（最安全，推荐） #

用户完全不直接和S3交互，所有请求都经过你的.NET Core后端，由后端处理权限验证和S3操作：

• 上传流程：
  1. 用户在前端选择文件，上传到你的MVC控制器
  2. 控制器验证用户身份（比如通过JWT、Cookie），获取用户ID
  3. 生成带用户前缀的S3对象键（可以加GUID避免文件名重复）
  4. 调用AWS SDK将文件上传到S3对应前缀路径
  5. 将文件元数据（用户ID、S3对象键、原始文件名等）保存到你的数据库
• 下载流程：
  1. 用户请求下载某个文件（比如通过文件ID或S3对象键）
  2. 控制器验证用户身份，检查该文件是否属于当前用户（通过数据库元数据或直接校验对象键前缀）
  3. 要么从S3获取文件流，直接返回给用户；要么生成预签名URL给用户（URL有过期时间，更安全）

IAM配置

你的应用使用的IAM角色/用户需要具备以下S3权限（可以限制在整个桶，但后端代码要做前缀过滤）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::your-shared-bucket/*"
        }
    ]
}

.NET Core代码示例

首先安装AWS SDK NuGet包：Install-Package AWSSDK.S3

上传控制器方法：

using Amazon.S3;
using Amazon.S3.Model;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System.Security.Claims;

[Authorize]
public class FileController : Controller
{
    private readonly IAmazonS3 _s3Client;
    private readonly string _bucketName = "your-shared-bucket";

    public FileController(IAmazonS3 s3Client)
    {
        _s3Client = s3Client;
    }

    [HttpPost("upload")]
    public async Task<IActionResult> Upload(IFormFile file)
    {
        if (file == null || file.Length == 0)
            return BadRequest("请选择要上传的文件");

        // 获取当前用户ID（根据你的认证方式调整，比如从Claim中取）
        var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId))
            return Unauthorized();

        // 生成带用户前缀的对象键，加GUID避免文件名重复
        var objectKey = $"user-{userId}/{Guid.NewGuid()}-{file.FileName}";

        try
        {
            var putRequest = new PutObjectRequest
            {
                BucketName = _bucketName,
                Key = objectKey,
                InputStream = file.OpenReadStream(),
                ContentType = file.ContentType,
                // 可选：添加自定义元数据保存原始文件名
                Metadata = { { "x-amz-meta-original-filename", file.FileName } }
            };

            await _s3Client.PutObjectAsync(putRequest);

            // 将文件信息保存到数据库（示例）
            // _fileService.SaveFile(new FileDto { UserId = userId, S3Key = objectKey, OriginalName = file.FileName });

            return Ok(new { FileId = objectKey });
        }
        catch (AmazonS3Exception ex)
        {
            return StatusCode(500, $"S3上传失败：{ex.Message}");
        }
    }

    [HttpGet("download/{fileKey}")]
    public async Task<IActionResult> Download(string fileKey)
    {
        var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId))
            return Unauthorized();

        // 校验文件是否属于当前用户的前缀
        if (!fileKey.StartsWith($"user-{userId}/"))
            return Forbid("你没有权限访问该文件");

        try
        {
            var getRequest = new GetObjectRequest
            {
                BucketName = _bucketName,
                Key = fileKey
            };

            using (var response = await _s3Client.GetObjectAsync(getRequest))
            {
                // 从元数据或对象键获取原始文件名
                var originalFileName = response.Metadata["x-amz-meta-original-filename"] 
                    ?? Path.GetFileName(fileKey).Split('-').Skip(1).Aggregate((a, b) => $"{a}-{b}");
                
                return File(response.ResponseStream, response.Headers.ContentType, originalFileName);
            }
        }
        catch (AmazonS3Exception ex)
        {
            if (ex.StatusCode == System.Net.HttpStatusCode.NotFound)
                return NotFound("文件不存在");
            return StatusCode(500, $"S3下载失败：{ex.Message}");
        }
    }
}

场景2：前端直传S3（适合大文件，减少服务器压力） #

如果用户上传大文件，不想占用服务器带宽，可以用STS临时凭证让前端直接和S3交互，但要严格限制凭证的权限：

• 流程：
  1. 用户前端请求后端获取临时上传凭证
  2. 后端验证用户身份，生成仅允许操作user-{userId}/*前缀的IAM策略
  3. 通过AWS STS服务生成临时凭证（AccessKey、SecretKey、SessionToken），返回给前端
  4. 前端使用临时凭证，直接将文件上传到S3的指定前缀路径
  5. 上传完成后，前端通知后端保存文件元数据

STS临时凭证生成代码示例

安装AWSSDK.SecurityToken包：Install-Package AWSSDK.SecurityToken

using Amazon.SecurityToken;
using Amazon.SecurityToken.Model;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System.Security.Claims;
using System.Text.Json;

[Authorize]
[HttpGet("get-upload-credentials")]
public async Task<IActionResult> GetUploadCredentials()
{
    var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
    if (string.IsNullOrEmpty(userId))
        return Unauthorized();

    var prefix = $"user-{userId}/";
    // 定义仅允许操作当前用户前缀的策略
    var policyDocument = new
    {
        Version = "2012-10-17",
        Statement = new[]
        {
            new
            {
                Effect = "Allow",
                Action = new[] { "s3:PutObject" },
                Resource = new[] { $"arn:aws:s3:::{_bucketName}/{prefix}*" }
            }
        }
    };

    var stsClient = new AmazonSecurityTokenServiceClient();
    var request = new GetFederationTokenRequest
    {
        Name = $"user-{userId}-temp",
        Policy = JsonSerializer.Serialize(policyDocument),
        DurationSeconds = 3600 // 凭证有效期1小时，可调整
    };

    var response = await stsClient.GetFederationTokenAsync(request);

    return Ok(new
    {
        AccessKeyId = response.Credentials.AccessKeyId,
        SecretAccessKey = response.Credentials.SecretAccessKey,
        SessionToken = response.Credentials.SessionToken,
        Expiration = response.Credentials.Expiration,
        BucketName = _bucketName,
        Prefix = prefix
    });
}

三、额外安全增强措施 #

• 服务器端加密：启用S3桶的服务器端加密（SSE-S3或SSE-KMS），保护静态文件数据
• 访问日志：开启S3桶访问日志，记录所有操作，方便审计和排查问题
• 禁止公开访问：确保S3桶的访问策略是私有，不允许匿名访问
• 预签名URL：如果用预签名URL下载，设置合理的过期时间（比如15分钟），避免URL泄露后被长期滥用
• 数据库元数据校验：不要仅依赖S3对象键前缀验证权限，最好在数据库中记录每个文件的归属用户，验证时先查数据库，更可靠

内容的提问来源于stack exchange，提问作者demonplus