可以从签名的 cookie 数据生成云端签名的 url 吗？

Question

可以从签名的 cookie 数据生成云端签名的 url 吗？

我有一个下载私人内容的签名网址

http://1234.cloudfront.net/myfile.txt?response-content-disposition=attachment%3Bfilename%3Dfoobar.json&Expires=1510111000&Signature=someRandomSignature&Key-Pair-Id=MY-KEY-PAIR

签名 URL 工作正常。

现在，我正在尝试生成一种公开私人内容的签名 cookie，因此我将以下 cookie 添加到我的响应对象中（在 Spring/JAVA 中）：

Cookie expiresCookie = new Cookie("CloudFront-Expires", "1510111000");
Cookie signatureCookie = new Cookie("CloudFront-Signature", "someRandomSignature");
Cookie keyPairCookie = new Cookie("CloudFront-Key-Pair-Id", "MY-KEY-PAIR");

一旦客户端获得这些 cookie，它（客户端）不能生成签名的 url 并将 url 共享给不应访问它的各方吗？

Answer 1

虽然这当然是可能的，但 CloudFront 签名的 URL/cookies 机制允许服务器生成签名以仅使用 IpAddress 策略字段根据 CloudFront developer documentation 锁定来自某些 IP 地址的客户端的访问：

IP 地址（可选）

发出 GET 请求的客户端的 IP 地址。请注意以下几点：

• 要允许任何 IP 地址访问对象，请省略 IpAddress 范围。
• 您可以指定一个 IP 地址或一个 IP 地址范围。例如，如果客户端的 IP 地址位于两个单独的范围之一，则您无法将策略设置为允许访问。
• 要允许从单个 IP 地址进行访问，请指定："IPv4 IP address/32"
• 您必须以标准 IPv4 CIDR 格式指定 IP 地址范围（例如， 10.52.176.0/24)。 [...]

如果服务器生成签名 URL 或 cookie 并设置了IpAddress，则只有来自匹配 IP 地址的其他方才能访问 CloudFront 上的内容。