使用预签名 URL 将对象上传到 AWS S3

Question

我希望使用预签名 URL 功能来允许我的无服务器应用程序的用户上传图像。阅读后，这听起来像是完美的解决方案，但我有一个关于安全性的问题。

通过使用预签名 URL 方法，上传发生在客户端而不是服务器端，我唯一担心的是，尽管我的应用需要在上传之前进行身份验证，但它并不能阻止用户上传恶意文件，因为他们可以绕过由客户端检查以确定文件是否为图像。

有人对此事有任何澄清吗？

谢谢！

Answer 1

正确。如果他们可以检索预签名的 URL 并绕过您的客户端逻辑，那么他们可以使用该 URL 上传他们喜欢的任何内容。如果您不能完全控制客户端公开，那么您就不能信任客户端验证，您也应该在服务器端实施规则。您可能会在此处使用 Lambda。