通過 api S3 存儲桶私有訪問

Question

我試圖在我正在開發的 API 上找到最佳解決方案，基本上在我的 API 中，我將圖像存儲在 s3 私有存儲桶中，而在私有存儲桶中，我需要在移動應用程序上顯示。

我有 2 個解決方案，但在我看來並不是最好的：

1）發送base64中的圖像。 問題：需要更改應用程序以讀取 base64 圖像，因為之前通過訪問 url 進行讀取。

2) 使用 s3 憑據訪問在應用程序中進行身份驗證的私有存儲桶問題：不完全安全，暴露了保存在應用程序中的憑據。

有人遇到同樣的情況嗎？ 任何想法。

Answer 1

如果您的用戶沒有登錄，並且您想與您的應用程序的所有用戶共享相同的內容，那么您的移動應用程序應該：

• 使用 AWS Security Token Service (STS) 通過AssumeRole 生成一組臨時憑證 - AWS Security Token Service
• 角色應預先配置為具有訪問 S3 存儲桶的權限
• 將臨時憑證發送到移動應用程序
• 然后，移動應用程序可以使用這些憑證訪問 Amazon S3 中的私有內容

相反，如果您的用戶對您的應用程序進行身份驗證，那么您可能希望控制他們可以在 S3 中訪問哪些對象。 為此，流程將是：

• 用戶對應用程序進行身份驗證
• 當他們希望訪問 object 時，您的后端應用程序會驗證他們是否有權訪問 object
• 如果允許，則應用程序應生成Amazon S3 預簽名 URL ，這是一個限時 URL，授予對私有 object 的訪問權限