Rails 5.2 Active Storage删除附件时Blob与Attachment记录未删除问题

问题根源 #

你碰到的这个情况其实是IAM权限配置不全导致的：虽然你的IAM用户有删除S3对象的权限，但Active Storage执行purge操作时，除了删除目标文件和变体文件，还需要对存储桶本身拥有ListBucket权限——之前的权限没覆盖到这一点，所以在删除完S3文件后，后续清理数据库Blob和Attachment记录的步骤被权限错误打断了，才会出现S3文件已删但数据库记录残留的情况。

修复方案：调整IAM权限策略 #

按照你后来的正确调整，需要给IAM用户（而非直接给S3存储桶）附加包含所有必要操作的策略，并且资源范围要同时覆盖存储桶本身和桶内所有对象。

最终可用的IAM策略如下：

{
 "Version": "2012-10-17",
 "Statement": [
 {
 "Sid": "VisualEditor0",
 "Effect": "Allow",
 "Action": [
 "s3:PutObject",
 "s3:GetObject",
 "s3:ListBucket",
 "s3:DeleteObject"
 ],
 "Resource": [
 "arn:aws:s3:::my-bucket/*",
 "arn:aws:s3:::my-bucket"
 ]
 }
 ]
}

几个关键的调整点 #

• 权限绑定对象：把策略附加到IAM用户，而不是直接绑定到S3存储桶，这是AWS权限管控的最佳实践，也能避免不必要的权限泄露。
• 完整操作列表：明确列出Active Storage所需的全部操作：
  • s3:PutObject：用于上传头像文件
  • s3:GetObject：读取文件（包括生成头像变体时的读取操作）
  • s3:ListBucket：这是之前缺失的关键权限，Active Storage在处理删除时需要遍历桶内相关资源
  • s3:DeleteObject：删除主文件和变体文件
• 资源范围覆盖：同时指定存储桶（arn:aws:s3:::my-bucket）和桶内所有对象（arn:aws:s3:::my-bucket/*），确保桶级和对象级的操作都有对应的权限。

调整完权限后，再执行user.avatar.purge就能顺利完成S3文件删除+数据库记录清理的完整流程了。

内容的提问来源于stack exchange，提问作者felix