ruby-on-rails - 用户使用carrierwave上传图像文件的适当s3权限

Question

在 Michael Hartl 撰写的 Rails 教程第 11 章的结尾，我成功地通过创建存储桶、使用 IAM 设置用户并授予用户 AmazonS3FullAccess 策略来使用户上传到 Amazon S3 服务。允许我网站上的未知用户完全访问我网站上的图像上传存储区，这感觉很脏而且非常不安全，我不确定我是否应该有这种感觉。我在以下位置创建了自定义策略

http://awspolicygen.s3.amazonaws.com/policygen.html

以下是:

{
"版本": "2012-10-17",
“陈述”: [
{
"Sid": "Stmt1445501067518",
“行动”: [
"s3:GetObject",
“s3:放置对象”
],
"Effect": "允许",
"资源": "arn:aws:s3:::bucketname"
}
]
}

我对我的解决方案没有信心，在谷歌搜索中找不到任何答案以找到解决此问题的最佳方法。我正在使用carrierwave(打算将carrierwave_direct 用于我自己的项目)、fog 和mini_magick gems。

Answer 1

允许用户将文件上传到您的站点(即 S3)的最好且可能是最安全的方式是使用基于浏览器的帖子上传。

这让用户可以直接上传到 S3，而无需通过您的服务器。在您的服务器上，您只需使用您的访问 key 创建一个请求签名。

你可以在这里读更多关于它的内容:
Browser Based Uploads Using Post

我自己不熟悉carrierwave，但您可能会发现这很有用:
Uploading directly to S3 in rails