HTTP引用 - AWS,Sharepoint和浏览器

Question

我已将一些文件上传到S3存储桶.为了限制访问,我设置了一个带有HTTP referrer的存储桶策略,允许从Sharepoint站点重定向.我使用Sharepoint是因为将访问S3文件的用户的授权.这很好用.但只有Firefox!

在搜索之后,似乎其他浏览器(我尝试过Chrome和Edge)会阻止HTTP引荐来源吗？是什么赋予了？

我当然可以通过AWS和IAM进行访问,但这会让事情变得复杂一些.此时,使用O365的访问控制似乎是最简单的.但我不想强迫客户使用Firefox.

(注意:根据您可能会问的原因,为什么不使用Sharepoint来托管文件.我有一个静态的HTML,并且在S3上设置起来很容易.但也许在Sharepoint上有一些替代方案？)

Answer 1

考虑这是否真的是您想要的，如果您使用 http 引用策略，那么任何人都可以访问该资源，正如您从这个答案中看到的：https: //security.stackexchange.com/a/135706 所以它不会给出任何真正的保护。

在这种情况下，您可能决定只授予任何人访问权限，如 amazon aws 文档所示：

授予匿名用户只读权限

以下示例策略向任何公共匿名用户授予 s3:GetObject 权限。（有关权限及其允许的操作的列表，请参阅在策略中指定权限。）此权限允许任何人读取对象数据，这在您将存储桶配置为网站并希望每个人都能够读取对象数据时非常有用。读取桶中的对象。

{
  "Version":"2012-10-17",
  "Statement":[
    {
      "Sid":"AddPerm",
      "Effect":"Allow",
      "Principal": "*",
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::examplebucket/*"]
    }
  ]
}

警告 授予对 S3 存储桶的匿名访问权限时请务必小心。当您授予匿名访问权限时，世界上的任何人都可以访问您的存储桶。我们强烈建议您永远不要授予对 S3 存储桶的任何类型的匿名写入访问权限。