Вопросы, касающиеся загрузки файлов на Amazon S3 с помощью браузера на основе HTTP POST

Question

У меня есть несколько вопросов, касающихся загрузки файлов на Amazon S3 непосредственно пользователем с помощью формы HTTP POST порождена страницы JSP

• Ключ доступа и подпись должна быть выставлена ​​пользователю на , что позволяет ему загружать файлы из формы JSP . В подписи я должен установить срок действия, иначе по по умолчанию он действителен в течение 15 минут.

  i) Может ли пользователь использовать эти данные для загрузки на S3 за пределами моего портала, чтобы обновлять его файлы или обновлять/изменять другие файлы.

  ii). Как я могу установить политику, чтобы избежать этого?

• Может ли пользователь использовать подпись для несколько запросов? Если да, то как запрещает пользователю загружать несколько загрузок? Как я могу гарантировать, что пользователь может использовать эту подпись с запросом только один раз?

• Иногда могут возникать проблемы с Amazon S3 с задержками и загрузками. Если ответ S3 занимает время , и пользователь снова пытается загрузить файл . Он получит исключение, Как я могу справиться с этим?

благодаря

Answer 1

Ключ общего доступа не может быть использована для чего без секретного ключа. Никогда не подвергайте секретный ключ.

До тех пор, пока вы подписываете политику на сервере, вы в безопасности. Подпись действительна только в указанное вами время и для загрузки в конкретное ведро и ключ. Без вашего секретного ключа у пользователя нет возможности создать другую подпись для загрузки любых других файлов.

У них нет доступа к другим файлам.

Насколько мне известно, срок истечения срока действия подписки должен быть действительным только в том случае, если они инициируют загрузку, поэтому вы можете установить довольно короткое время.

Answer 2

i) Может ли пользователь использовать эти данные для загрузки на S3 за пределами моего портала до , обновите его файлы или обновите/измените другие файлы.

Да, пользователь может использовать эти данные для воспроизведения действия. Вы можете указать имя файла, чтобы он мог обновлять только загруженный файл.

ii). Как я могу установить политику, чтобы избежать этого?

Вы можете добавить некоторые условия, ограничивающие доступ. Как и «expiration», установите его на 5-10 минут после создания подписи. И вы можете добавить любые другие условия, такие как «user_id» или что-то еще.