如何不使用Signed URL安全提供S3文件用于KML嵌入？

首先得给你澄清一个关键点：AWS CloudFront的签名URL确实最长只有7天有效期，但S3本身的预签名URL（Presigned URL）如果用长期IAM用户凭证生成，是可以设置极长过期时间的（比如几十年）——这可能是你之前没注意到的点。不过结合你的机密图片+KML嵌入+Google Earth的场景，还有几个更靠谱的方案，我给你逐一拆解：

方案1：S3长期预签名URL（满足“近乎永不过期”需求） #

如果你一定要用云端存储，这个方案可以解决过期问题。S3预签名URL的过期时间限制取决于生成它的凭证：用长期IAM用户的Access Key（不是临时STS凭证）的话，你可以把过期时间设到很远的未来（比如2100年），几乎等同于永久有效。

怎么实现？ #

在Python里用boto3生成的时候，指定超长的ExpiresIn参数就行（单位是秒，100年就是3153600000秒）：

import boto3

s3_client = boto3.client('s3')
presigned_url = s3_client.generate_presigned_url(
    'get_object',
    Params={'Bucket': '你的S3桶名', 'Key': '图片文件路径'},
    ExpiresIn=3153600000  # 100年有效期
)

把这个URL直接放到KML的<img src="...">里就行，Google Earth能正常加载，因为它只是个带签名的HTTP请求，不需要浏览器Cookie支持。

注意点 #

• 生成URL的IAM密钥绝对不能泄露！一旦泄露，别人拿着这个URL就能一直访问图片到过期。
• 如果以后要撤销访问，你得换IAM密钥或者移走图片，然后重新生成KML给客户端。

方案2：打包成KMZ文件（最推荐，彻底解决机密问题） #

这个方案才是最贴合你需求的——KMZ是KML的压缩包格式，你可以把KML文件和所有关联的图片直接打包成一个.kmz文件交付给客户端。Google Earth打开KMZ时，会直接读取包里的图片，完全不需要访问外部URL，彻底规避了机密泄露的风险。

实现步骤 #

1. 生成KML时，把图片路径改成相对路径（比如assets/photo1.jpg）。
2. 整理目录结构，比如：

   项目文件夹/
   ├── doc.kml  # 你的KML文件，必须叫这个名字当入口
   └── assets/
       ├── photo1.jpg
       └── photo2.jpg
   

3. 用Python的zipfile模块打包成KMZ：

   import zipfile
   import os
   
   def build_kmz(kml_file_path, resources_dir, output_kmz_path):
       with zipfile.ZipFile(output_kmz_path, 'w', zipfile.ZIP_DEFLATED) as kmz:
           # 把KML文件作为入口添加，命名必须是doc.kml
           kmz.write(kml_file_path, arcname='doc.kml')
           # 遍历资源目录，把所有图片加进去，保留相对路径
           for root, _, files in os.walk(resources_dir):
               for file in files:
                   full_path = os.path.join(root, file)
                   # 计算相对于KML文件的路径，保持目录结构
                   relative_path = os.path.relpath(full_path, os.path.dirname(kml_file_path))
                   kmz.write(full_path, arcname=relative_path)
   
   # 调用示例
   build_kmz('./my_project/doc.kml', './my_project/assets', './final_delivery.kmz')
   

4. 把生成的KMZ发给客户端就行，他们直接用Google Earth打开，图片本地加载，完全私密，也不用管什么URL过期的问题。

优势 #

• 彻底脱离AWS访问控制的限制，没有泄露风险。
• 客户端不用联网也能查看（如果KMZ是本地文件）。
• 操作简单，后期维护也省心。

方案3：S3 Bucket Policy加IP限制（仅适合固定IP客户端） #

如果你的客户端IP是固定不变的，可以给S3桶加个IP白名单策略，然后用普通的S3 URL嵌入KML。

配置Bucket Policy示例 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::你的桶名/图片目录/*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "192.168.1.100/32"  # 客户端的固定IP
                }
            }
        }
    ]
}

然后把普通的S3 URL（比如https://你的桶名.s3.amazonaws.com/图片目录/photo1.jpg）放到KML里就行。不过这个方案局限性很大，客户端IP一变就失效了。

总结一下，KMZ打包是最适合你的方案，完全解决了机密性和有效期的问题。如果必须用云端存储，S3长期预签名URL是次优选择。

内容的提问来源于stack exchange，提问作者user3394830