Amazon S3 存储桶策略公开

Question

我正在尝试在我的 Javascript 代码中创建一个 signedUrl PUT，该 URL 已经由我的 Node.js API 签名。

如果我将存储桶策略留空，我会在执行 PUT 请求时收到拒绝访问消息，但是，当我设置此策略时：

    "Version": "2012-10-17",
    "Id": "Policy1610714112327",
    "Statement": [
        {
            "Sid": "Stmt1610714107917",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::<bucketname>/*"
        }
    ]
}

我可以成功上传文件了。

我的问题是：使用此政策，任何人都可以将文件放入我的存储桶中吗？或者只是当他们有一个签名的 URL 时？

Answer 1

您已将 Principal 设置为 * 并在 stackoverflow 上共享存储桶名称 - 立即进行更改！

是的，任何人都可以将对象上传到您的存储桶！

您不一定需要预签名 URL 的存储桶策略，但创建 URL 需要执行上传的所有权限，即至少 s3:PutObject。 更多详情，请查看documentation。