s3 默认公开 url 存在严重安全隐患，任何拥有链接的人都可直接访问资源。本文介绍通过 cloudfront + 签名 url 实现细粒度、有时效性的访问控制，无需暴露原始 s3 存储桶。
s3 默认公开 url 存在严重安全隐患，任何拥有链接的人都可直接访问资源。本文介绍通过 cloudfront + 签名 url 实现细粒度、有时效性的访问控制，无需暴露原始 s3 存储桶。
AWS S3 存储桶若配置为公开读（如 public-read），其对象 URL（如 https://s3.amazonaws.com/approves3/44/IMG_0189.jpg）将完全开放——这与业务权限模型（如“仅登录用户可查看本人文档”）严重冲突。根本解决方案不是禁用 URL，而是废弃直接 S3 公开访问，转而使用带身份验证和时效控制的分发层。
✅ 推荐架构：S3（私有） → CloudFront（带签名策略） → 前端/客户端
- 将 S3 存储桶策略设为 私有（移除 s3:GetObject 对 * 的授权）；
- 创建 CloudFront 分发，源域名为 S3 桶的私有域名（形如 approves3.s3.us-east-1.amazonaws.com），并启用 Origin Access Identity (OAI)，使 CloudFront 成为唯一合法访问源；
- 后端（Java 服务）在返回 userdocumentsdto 时，不生成原始 S3 URL，而是生成 CloudFront 签名 URL：
// 使用 AWS SDK v2 示例（需添加 aws-sdk-java-v2-cloudfront）
import software.amazon.awssdk.services.cloudfront.CloudFrontClient;
import software.amazon.awssdk.services.cloudfront.model.CreateCloudFrontOriginAccessIdentityRequest;
// 构造签名 URL（需配置私钥文件 .pem 和密钥对 ID）
String distributionDomain = "d1234567890abc.cloudfront.net";
String objectKey = "44/IMG_0189.jpg";
Instant expiresAt = Instant.now().plusMinutes(15); // 15 分钟有效期
String signedUrl = CloudFrontUrlSigner.signUrl(
"https://" + distributionDomain + "/" + objectKey,
"YOUR_KEY_PAIR_ID",
Paths.get("/path/to/your/private-key.pem"),
expiresAt
);
// 返回给前端：https://d1234567890abc.cloudfront.net/44/IMG_0189.jpg?Expires=...&Signature=...&Key-Pair-Id=...
⚠️ 关键注意事项：
- 绝不硬编码私钥：生产环境应通过 Secrets Manager 或 IAM Roles 动态获取；
- 时效性必须严格：建议单次有效时间 ≤ 30 分钟，并配合前端缓存策略；
- 路径级权限：签名 URL 仅对指定 objectKey 生效，天然支持按用户/会话隔离；
- 日志与审计：启用 CloudFront 访问日志 + S3 服务器访问日志，追踪谁在何时访问了哪个资源。
? 进阶提示：对于高频访问或需 RBAC 控制的场景，可结合 Lambda@Edge 在签名验证后动态注入用户上下文（如校验 JWT Token），实现更灵活的权限决策。
通过该方案，userdocumentseo 到 userdocumentsdto 的映射逻辑只需替换 URL 生成方式，即可彻底消除未授权访问风险，同时保持前端无缝兼容。
