nginx可通过反向代理转发请求至amazon s3，实现静态资源统一接入、缓存控制及隐藏原始域名与签名逻辑；支持静态网站托管（仅限公开资源）或直连s3 rest api（兼容私有桶鉴权），并可注入cors头、定制缓存策略、增强安全防护。
可以通过 Nginx 反向代理将请求转发到 Amazon S3 存储桶，实现对静态资源（如图片、CSS、JS）的统一接入和缓存控制，同时隐藏 S3 的原始域名和签名逻辑。
配置 S3 存储桶为静态网站托管（可选但推荐）
若希望直接通过 HTTP 访问（非签名 URL），需开启 S3 的静态网站托管功能，并设置存储桶策略允许公开读取。注意：此方式仅适用于完全公开资源，不适用于需要鉴权的私有内容。
- 在 S3 控制台中启用“静态网站托管”，获取类似
http://bucket-name.s3-website-region.amazonaws.com的终端节点 - 添加存储桶策略，授予
s3:GetObject权限给*（仅限公开资源） - 确保对象 ACL 设置为 “Public read”
使用反向代理直连 S3 REST API（更通用的方式）
绕过网站托管，直接代理到 S3 的 REST 终端节点（如 https://bucket-name.s3.region.amazonaws.com）。这种方式支持私有桶 + 签名 URL 或配合 IAM 角色/临时凭证做后端鉴权，也便于 Nginx 层做缓存和重写。
- 在 Nginx 中用
proxy_pass指向 S3 的 HTTPS 地址，必须包含完整路径（S3 要求 Host 头与 bucket 名一致） - 添加
proxy_set_header Host $host;不够 —— 应设为proxy_set_header Host bucket-name.s3.region.amazonaws.com; - 禁用
proxy_redirect，避免 S3 返回的 307 重定向被错误改写 - 建议关闭
proxy_buffering或调大缓冲区，防止大文件传输中断
处理跨域（CORS）与缓存头
S3 默认不返回 Access-Control-Allow-Origin，前端直接访问会触发 CORS 错误；Nginx 可主动注入响应头，统一管理缓存策略。
- 在 location 块中添加：
add_header Access-Control-Allow-Origin "*";（生产环境请按需限制来源） - 用
expires或add_header Cache-Control控制浏览器缓存，例如：add_header Cache-Control "public, max-age=31536000, immutable"; - 若 S3 已设置
Cache-Control元数据，Nginx 默认透传；如需覆盖，加proxy_hide_header Cache-Control;再重新设置
安全与权限补充建议
直接暴露 S3 域名存在风险，Nginx 代理可作为安全边界，过滤恶意路径、限制请求方法、校验 Referer 或添加 WAF 规则。
- 用
location ^~ /static/限定代理路径前缀，避免整站被穿透 - 拒绝非 GET/HEAD 请求：
if ($request_method !~ ^(GET|HEAD)$) { return 405; } - 可结合
valid_referers限制盗链，或用 JWT/URL 签名在 Nginx 层校验后再转发 - 如需访问私有桶，可在后端（如 Lua 或外部服务）生成预签名 URL，再由 Nginx
return 302重定向，避免密钥泄露
