如何为 IP 地址设置 Amazon S3 策略

Question

我正在使用与 S3 兼容的存储（数字海洋空间）来托管来自我的 Web 应用程序的图像。 为了防止盗链并尽量减少直接下载，我应用了这个策略：

{
   "Id": ip referer policy example",
   "Statement": [
    {
       "Sid": "Allow get requests originating from my server.",
       "Effect": "Deny",
       "Principal": "*",
       "Action": "s3:GetObject",
       "Resource": "arn:aws:s3:::bucket-name/*",
       "Condition": {
         "NotIpAddress":  {
          "aws:SourceIp":  "server-ip-address"
        }
      }
    } 
  ]
}

这个技巧似乎奏效了，我现在无法直接访问这些文件，但是，我的 Web 应用程序也不能。我是不是做错了什么？

有没有办法调试引荐来源网址或其他东西？

Answer 1

默认情况下，内容是私有的。您的政策未通过 Allow 语句授予任何访问权限，因此无法访问内容。 Deny 可用于删除由Allow 授予的权限，但它本身并不授予访问权限。

您可以将其更改为Allow 策略，并将NotIpAddress 更改为IpAddress。这将授予访问您的服务器以下载内容的权限。但是，最好使用 S3 样式的 API 调用从您自己的存储桶中下载内容，而不是使用匿名 HTTP 请求。

如果您在 HTML 页面中放置对象的链接，则该策略将提供您期望的安全性，因为用户的浏览器将尝试访问该对象，并且由于请求不是来自您的服务器的 IP 地址。