允许匿名用户读取私有S3桶中的对象的访问权限

一种解决方法是创建S3桶策略以授权匿名用户读取特定的对象或对象前缀。此方法允许对特定对象或前缀进行精细的控制。

以下示例将授权匿名用户访问名为“my-bucket”的S3桶中的名为“example.jpg”的对象：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-bucket/example.jpg"
        }
    ]
}

在上述示例中，“Principal”字段设置为“*”，表示授权所有用户。如果您只想授权特定IP地址或范围的IP地址，可以将其替换为IP地址或CIDR块，例如“Principal”: {"AWS": "10.0.0.0/16"}。

另一种解决方法是使用预签名URL。预签名URL是一种具有时间限制的URL，允许任何人使用该URL来访问某个S3对象，而不需要提供AWS凭证。您可以使用预签名URL来控制对对象的访问权限的可用性和持续时间。以下示例使用Boto3 Python库生成预签名URL：

import boto3

s3_client = boto3.client('s3')
bucket_name = 'my-bucket'
object_key = 'example.jpg'

url = s3_client.generate_presigned_url('get_object',
                                       Params={'Bucket': bucket_name,
                                               'Key': object_key},
                                       ExpiresIn=3600)  # URL将在1小时后过期

在上述示例中，“generate_presigned_url”方法的“ExpiresIn”参数设置URL的过期时间（以秒为单位）。在URL过期之后，它将不再有效。

请注意，在使用预签名URL时，S3桶和对象仍然处于私有状态，而且只允许授权访问者（即通过提供有效的预签名URL）访问它们。