AWS S3/Ruby on Rails/heroku:我的应用程序中的安全漏洞

Question

我的配置中有一条路线,表示对于某个页面,/secure需要登录(通过authlogic完成).我的控制器中的before_filter负责处理.这很好,页面及其资源限制访问 - 通过应用程序.

麻烦的是,我们在部署到heroku的这个应用程序(基于refinerycms)上使用Amazon S3进行存储.我有一个水桶,它工作正常.

但是,可以通过浏览器直接访问插入应用程序安全部分的任何资源.换句话说,该/secure页面包含pdf文件等项目.虽然通过应用程序可以保护资源,但可以从Internet上的任何位置访问这些pdf文件(示例URL):http://s3.amazonaws.com/my_bucket/images/1234/the_file_which_should_be_secure.pdf

我可以在S3上进行细粒度的访问控制吗？我必须创建一个新桶吗？理想情况下,我想在我的资源上设置一个标志,使其在互联网上不可见 - 不知道.

任何建议都欢迎.

PS openid.org有一个过期的ssl证书,所以需要创建一个新的空帐户,因为我无法登录

Answer 1

你可以试试这个页面上的内容:

http://thewebfellas.com/blog/2009/8/29/protecting-your-paperclip-downloads

这些说法属于"不再流式传输,重定向时间"一节.

简介: S3具有四种固定访问策略,通过使用经过身份验证的读取策略,S3提供了一种方法,可以为仅在指定时间段内工作的私有内容生成经过身份验证的URL.

我实际上没有这样做,所以如果它适合你,请告诉我.:-)