在预签名上传时确保 s3 安全

Question

我一直在尝试在我的 Web 应用程序中实现 S3 存储。然而，我已经到了让自己陷入僵局的地步。

我正在使用预签名网址。

用户获得预签名的 url，上传文件，现在必须将 url 发回以保存在后端。然后移动它。

确保用户不只是猜测另一个 url，在请求中发送它，从而签名和下载该文件而不是他应该获得的文件的最合乎逻辑的方法是什么？ 这样他就可以访问私人文件。

Answer 1

如果您的用户可以从您的服务中猜出一个 URL，并且您返回该 URL 的预签名版本，那么预签名基本上毫无意义。

如果只允许用户访问某些对象，则系统应确保您只返回用户有权访问的对象的预签名 URL。