如何仅限授权网站用户访问图像

Question

我正在处理一个项目，我需要以安全的方式存储用户上传的图像。目前，我正在使用 Cloudfront 在 AWS s3（静态内容）上托管网站。后端单独部署在应用负载均衡器后面。

用例是 - 用户从他的桌面上传图片到 s3 中的存储桶。我已经设置了存储桶策略，以便每个人都可以将图像上传到它（因为它是一个公共网站）。现在，我必须将图像访问权限仅限于上传它的用户。即如果用户 A 上传图像 A1、A2、A3，则只有他应该能够查看这些图像，而不是用户 B。

目前，如果我通过浏览器检查工具获取url，我可以直接查看图像，没有任何限制。这违背了在网站上“安全”存储图像的目的。 有人可以让我知道任何标准做法，指向这个问题吗？ 每次通过带有一些特殊哈希的后端生成图像 url 是否会过度工程？

Answer 1

查看AWS Amplify's Storage module 和File Access Levels 文档。开箱即用，它支持private 级别，允许用户仅上传（和查看）存储桶中自己的命名空间前缀。这听起来正是您所追求的。