如何通过URL访问私有S3存储桶图片，满足长期有效等特定需求

推荐方案：CloudFront + Origin Access Control (OAC) + 自定义缓存策略 #

这是兼顾安全性、长期可用性和缓存控制的最优解，完全匹配你的需求：

步骤1：创建CloudFront分发并配置OAC #

• 新建CloudFront分发，将源设置为你的私有S3存储桶，必须启用Origin Access Control (OAC)。
• 按照CloudFront引导，自动生成或手动修改S3桶权限策略，确保只有CloudFront的OAC能访问桶内对象（拒绝其他所有公开访问）。
• 分发创建完成后，你会得到一个固定的CloudFront域名（如dxyz123.cloudfront.net），这是后续访问图片的基础地址。

步骤2：配置无缓存的自定义缓存策略 #

• 进入CloudFront控制台的「缓存策略」页面，创建新策略：
  • 缓存键设置：仅保留Host和Origin字段（避免因无关请求参数生成缓存副本）。
  • 缓存行为设置：
    • 将默认TTL和最大TTL均设为0，强制CloudFront每次都回源S3获取最新内容。
    • 添加响应头规则：
      • Cache-Control: no-store, no-cache, must-revalidate
      • Pragma: no-cache
      • Expires: 0
  • 将这个缓存策略关联到你的CloudFront分发的默认行为上。

步骤3：生成长期访问链接 #

图片的固定访问链接格式为：

https://<你的CloudFront域名>/<S3对象的完整键>

例如：https://dxyz123.cloudfront.net/product-images/2024/shot.jpg，这个链接永久有效，只要CloudFront分发存在且S3对象未被删除。

备选方案：S3静态网站托管（仅限受控场景） #

如果不想依赖CloudFront，可使用S3静态网站托管，但仅适合访问范围可控的场景（如内部固定IP访问）：

步骤1：启用静态网站托管 #

在S3桶的「属性」页开启静态网站托管，获取专属的网站端点（如my-private-bucket.s3-website-us-west-2.amazonaws.com）。

步骤2：配置安全的桶策略 #

不要将桶设为公开可读，而是通过桶策略限制访问来源，例如仅允许特定IP段：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-private-bucket/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "192.168.1.0/24"
        }
      }
    }
  ]
}

步骤3：设置无缓存元数据 #

• 单个对象：在S3对象的「元数据」中添加Cache-Control: no-store, no-cache, must-revalidate。
• 批量对象：通过S3生命周期规则或AWS CLI批量更新对象元数据，确保所有图片都带有缓存控制头。

访问链接格式为：

https://<你的S3网站端点>/<对象键>

核心注意事项 #

• 绝对禁止公开S3桶：公开桶会导致数据泄露风险，所有访问都必须通过CloudFront或受控的桶策略进行。
• 缓存控制要彻底：仅设置浏览器缓存头不够，CloudFront端的TTL也要设为0，避免边缘节点缓存旧内容。
• OAC优于OAI：CloudFront的OAC是替代旧版OAI的新方案，配置更灵活，支持更多源类型，优先使用。

内容的提问来源于stack exchange，提问作者VSR cookies