amazon-s3 - Amazon s3 阻止在浏览器中打开媒体 URL

Question

我们使用 Amazon s3 来管理图像和视频。我们能够成功地将其集成，并且视频和图像可以在我们的网站中正常加载。

例如网址 https://s3.ap-south-1.amazonaws.com/prod/image/20160810065109.png https://s3.ap-south-1.amazonaws.com/prod/video/43443.mp4

我们希望限制用户直接在浏览器中使用上述链接进行下载或播放。我知道我们可以允许少数 IP 访问亚马逊 s3 url。我们有 andriod 应用程序，可以获取这些亚马逊 s3 url。所以IP限制不起作用。亚马逊s3是否提供了任何其他机制来限制并允许此限制？请告知。如果我们有一个其实现的示例，那就太好了。

Answer 1

最合适的解决方案是使用 Amazon S3 Pre-Signed URL .

默认情况下，Amazon S3 中的所有对象都是私有(private)的。然后您可以添加权限，以便人们可以访问您的对象。这可以通过以下方式完成:

• 访问控制列表对单个对象的权限
• 存储桶策略(根据路径、IP 地址、引荐来源等授予广泛的访问权限)
• IAM 用户和组(向具有 AWS 凭证的用户授予权限)
• 预签名网址

一个<强> Pre-Signed URL 可用于授予对 S3 对象的访问权限，作为“覆盖”访问控制的一种方式。通常私有(private)的对象可以通过附加到期时间和签名的 URL 进行访问。这是无需网络服务器即可提供私有(private)内容的好方法。

如果您的目标是仅在使用预签名 URL 的情况下提供内容，则:

• 不要通过上面列出的正常方法分配任何权限(默认情况下，这会使它们保持私有(private))
• 使用预签名 URL 访问对象

这样，访问对象的唯一方法就是使用预签名 URL(具有签名)。不需要存储桶策略。

您的应用程序有责任对用户进行适当的身份验证，以确定是否允许他们访问 S3 中的对象。如果他们被授予访问权限，那么您的应用程序应该生成预签名 URL 作为对象的经过身份验证的链接。这些网址仅在有限的时间内有效。

最好的方法是让后端应用程序(可能在 Amazon EC2 或 AWS Lambda 上运行)执行身份验证，然后生成 URL。然后，您的 Android 应用程序可以使用 URL 访问 S3 中的内容。