通过AWS SDK创建签名的S3和Cloudfront URL

Question

var AWS = require('aws-sdk')
  , s3 = new AWS.S3()
  , params = {Bucket: 'my-bucket', Key: 'path/to/key', Expiration: 20}

s3.getSignedUrl('getObject', params, function (err, url) {
  console.log('Signed URL: ' + url)
})

Answer 1

更新：我将签名功能从下面的示例代码移到了NPM上的aws-cloudfront-sign包中。这样，您就可以只需要这个包并调用getSignedURL()。

经过进一步的研究，我找到了一个解决方案，它是这个答案和我在Boto库中找到的方法的组合。确实，S3 URL签名的处理方式不同于CloudFront URL签名。如果您只需要签署一个S3链接，那么我最初问题中的示例代码将非常适合您。但是，如果您希望生成使用CloudFront发行版的签名URL，则会变得稍微复杂一些。这是因为AWS SDK当前不支持CloudFront URL签名，所以您必须自己创建签名。如果您也需要这样做，下面是基本步骤。我假设您已经有了一个S3 bucket设置：

• 创建CloudFront发行版
• 使用以下设置配置您的原点
  • 来源域名：{your-s3-bucket}
  • 限制存储桶访问：是
  • 授予桶的读取权限：是，更新桶策略

  var crypto = require('crypto')
    , fs = require('fs')
    , util = require('util')
    , moment = require('moment')
    , urlParse = require('url')
    , cloudfrontAccessKey = '<your-cloudfront-public-key>'
    , expiration = moment().add('seconds', 30)  // epoch-expiration-time
  
  // Define your policy.
  var policy = {
     'Statement': [{
        'Resource': 'http://<your-cloudfront-domain-name>/path/to/object',
        'Condition': {
           'DateLessThan': {'AWS:EpochTime': '<epoch-expiration-time>'},
        }
     }]
  }
  
  // Now that you have your policy defined you can sign it like this:
  var sign = crypto.createSign('RSA-SHA1')
    , pem = fs.readFileSync('<path-to-cloudfront-private-key>') 
    , key = pem.toString('ascii')
  
  sign.update(JSON.stringify(policy))
  var signature = sign.sign(key, 'base64')
  
  // Finally, you build the URL with all of the required query params:
  var url = {
    host: '<your-cloudfront-domain-name>',
    protocol: 'http',
    pathname: '<path-to-s3-object>'
  }    
  var params = {
    'Key-Pair-Id=' + cloudfrontAccessKey,
    'Expires=' + expiration,
    'Signature=' + signature
  }
  var signedUrl = util.format('%s?%s', urlParse.format(url), params.join('&'))
  
  return signedUrl