amazon-web-services - 在 Web 应用程序中公开 AWS S3 签名 URL？

Question

几个小时以来，我一直试图找到这个问题的答案，但一直没有得出结论性的答案。我希望这里有人能够对我的问题有所了解。考虑以下示例 AWS S3 URL:

https://some-bucket.s3-eu-west-2.amazonaws.com/uploads/images/some_image.jpg?X-Amz-Expires=600&X-Amz-Date=20170920T124015Z&X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIAI6CJYFYSSWMXXXXX/20170920/eu-west-2/s3/aws4_request&X-Amz-SignedHeaders=host&X-Amz-Signature=0481296b70633de9efb2fce6e20751df2f55fd79b5ff9570c02ff8f587dce825

在我的具体示例中，上述 URL 是在 S3 上查看图像的请求，我直接在 HTML img 标签中公开该图像，并且 Amz-Credential 中的用户具有读取和写入权限。该 URL 还设置为在 10 分钟后过期。

通过此 URL 直接链接到图像是否安全，或者是否有可能在这 10 分钟内，来自此 URL 的签名可用于恶意制作的 REST 请求以删除或修改图像而不是查看它？

我确实怀疑不同的操作会有不同的签名来使这成为不可能，但鉴于我对 AWS 身份验证的了解非常有限，我认为最好询问以防万一。

我知道我可以创建一个只读用户(额外的复杂性)或在我自己的 Web 应用程序上的 Controller 操作后面隐藏 S3 URL(需要 2 个请求来加载每个图像，使其效率低下)，但我宁愿了解我的在诉诸其中任何一个之前，当前的方法是否安全。

感谢您抽出宝贵时间。 :)

Answer 1

如果您的预签名 url 具有 PUT 或 DELETE 权限，则有人可以尝试获取 Signature + AccessKeyId 以覆盖或删除您的对象。

刚刚make sure您正在使用只读权限签署网址，我想您很好。