公開讀取S3存儲桶漏洞

Question

我在辯論是否將S3用作CDN存儲。第一步是允許存儲桶具有對每個人的讀取訪問權限，這是我對該策略所做的，並且工作正常。我期待的鬥包含媒體文件：JPG，PNG，GIF，MP4。

現在，我只允許WRITE訪問使用django-storage寫入S3的Django服務器。因此，問題是：

這個設置有什麼可能的爆炸？

我偶然發現blog，它提到對公衆的讀取權限是不鼓勵的，因此讓我想知道社區的想法。

Answer 1

博客建議不公開此博客的原因讀取訪問權限是惡意用戶可以list您的存儲桶中的所有對象。我認爲這是一個有效的安全問題：在具有公共讀取權限的存儲桶中，我應該能夠獲取給定S3密鑰的內容，但不應該允許查看它包含的所有對象。

此博客是在2012年編寫的。我不知道當時S3是否支持存儲桶策略。今天，您可以通過將存儲桶策略定義爲Allow全部爲GetObject，但是Deny全部爲ListObjects來輕鬆應對這種情況。

在附註中，您是否考慮過使用AWS CloudFront作爲CDN？這似乎更適合你的用例，而不是S3。