共享S3桶下实现用户文件隔离，核心是两个关键点：

1. 文件路径前缀隔离 ：给每个用户分配唯一的前缀（比如 user-{用户唯一ID}/ ），所有该用户的文件都存储在这个前缀下
2. 权限严格控制 ：确保用户只能访问自己前缀下的文件，禁止跨前缀操作

下面分具体场景和步骤展开：

一、存储结构设计 #

这是基础，必须先确定：

• 用用户的 系统唯一ID 作为前缀（比如GUID、自增ID），不要用用户名（避免用户名修改、特殊字符或重复问题）
• 示例路径： user-123e4567-e89b-12d3-a456-426614174000/report.pdf 、 user-123e4567-e89b-12d3-a456-426614174000/avatar.png
• 如果需要按文件类型分类，可以在用户前缀下再细分： user-{userId}/documents/ 、 user-{userId}/images/

二、权限控制方案（两种主流场景） #

根据你的应用架构，选择适合的方案：

场景1：后端代理上传/下载（最安全，推荐） #

用户完全不直接和S3交互，所有请求都经过你的.NET Core后端，由后端处理权限验证和S3操作：

• 上传流程 ：
  1. 用户在前端选择文件，上传到你的MVC控制器
  2. 控制器验证用户身份（比如通过JWT、Cookie），获取用户ID
  3. 生成带用户前缀的S3对象键（可以加GUID避免文件名重复）
  4. 调用AWS SDK将文件上传到S3对应前缀路径
  5. 将文件元数据（用户ID、S3对象键、原始文件名等）保存到你的数据库
• 下载流程 ：
  1. 用户请求下载某个文件（比如通过文件ID或S3对象键）
  2. 控制器验证用户身份，检查该文件是否属于当前用户（通过数据库元数据或直接校验对象键前缀）
  3. 要么从S3获取文件流，直接返回给用户；要么生成 预签名URL 给用户（URL有过期时间，更安全）

IAM配置

你的应用使用的IAM角色/用户需要具备以下S3权限（可以限制在整个桶，但后端代码要做前缀过滤）：

{
    "Version": "2012-10-17",
    "Statement": [
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            "Resource": "arn:aws:s3:::your-shared-bucket/*"

.NET Core代码示例

首先安装AWS SDK NuGet包： Install-Package AWSSDK.S3

上传控制器方法：

using Amazon.S3;
using Amazon.S3.Model;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System.Security.Claims;
[Authorize]
public class FileController : Controller
    private readonly IAmazonS3 _s3Client;
    private readonly string _bucketName = "your-shared-bucket";
    public FileController(IAmazonS3 s3Client)
        _s3Client = s3Client;
    [HttpPost("upload")]
    public async Task<IActionResult> Upload(IFormFile file)
        if (file == null || file.Length == 0)
            return BadRequest("请选择要上传的文件");
        // 获取当前用户ID（根据你的认证方式调整，比如从Claim中取）
        var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId))
            return Unauthorized();
        // 生成带用户前缀的对象键，加GUID避免文件名重复
        var objectKey = $"user-{userId}/{Guid.NewGuid()}-{file.FileName}";
            var putRequest = new PutObjectRequest
                BucketName = _bucketName,
                Key = objectKey,
                InputStream = file.OpenReadStream(),
                ContentType = file.ContentType,
                // 可选：添加自定义元数据保存原始文件名
                Metadata = { { "x-amz-meta-original-filename", file.FileName } }
            await _s3Client.PutObjectAsync(putRequest);
            // 将文件信息保存到数据库（示例）
            // _fileService.SaveFile(new FileDto { UserId = userId, S3Key = objectKey, OriginalName = file.FileName });
            return Ok(new { FileId = objectKey });
        catch (AmazonS3Exception ex)
            return StatusCode(500, $"S3上传失败：{ex.Message}");
    [HttpGet("download/{fileKey}")]
    public async Task<IActionResult> Download(string fileKey)
        var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId))
            return Unauthorized();
        // 校验文件是否属于当前用户的前缀
        if (!fileKey.StartsWith($"user-{userId}/"))
            return Forbid("你没有权限访问该文件");
            var getRequest = new GetObjectRequest
                BucketName = _bucketName,
                Key = fileKey
            using (var response = await _s3Client.GetObjectAsync(getRequest))
                // 从元数据或对象键获取原始文件名
                var originalFileName = response.Metadata["x-amz-meta-original-filename"] 
                    ?? Path.GetFileName(fileKey).Split('-').Skip(1).Aggregate((a, b) => $"{a}-{b}");
                return File(response.ResponseStream, response.Headers.ContentType, originalFileName);
        catch (AmazonS3Exception ex)
            if (ex.StatusCode == System.Net.HttpStatusCode.NotFound)
                return NotFound("文件不存在");
            return StatusCode(500, $"S3下载失败：{ex.Message}");

场景2：前端直传S3（适合大文件，减少服务器压力） #

如果用户上传大文件，不想占用服务器带宽，可以用 STS临时凭证 让前端直接和S3交互，但要严格限制凭证的权限：

• 流程 ：
  1. 用户前端请求后端获取临时上传凭证
  2. 后端验证用户身份，生成仅允许操作 user-{userId}/* 前缀的IAM策略
  3. 通过AWS STS服务生成临时凭证（AccessKey、SecretKey、SessionToken），返回给前端
  4. 前端使用临时凭证，直接将文件上传到S3的指定前缀路径
  5. 上传完成后，前端通知后端保存文件元数据

STS临时凭证生成代码示例

安装AWSSDK.SecurityToken包： Install-Package AWSSDK.SecurityToken

using Amazon.SecurityToken;
using Amazon.SecurityToken.Model;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System.Security.Claims;
using System.Text.Json;
[Authorize]
[HttpGet("get-upload-credentials")]
public async Task<IActionResult> GetUploadCredentials()
    var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
    if (string.IsNullOrEmpty(userId))
        return Unauthorized();
    var prefix = $"user-{userId}/";
    // 定义仅允许操作当前用户前缀的策略
    var policyDocument = new
        Version = "2012-10-17",
        Statement = new[]
                Effect = "Allow",
                Action = new[] { "s3:PutObject" },
                Resource = new[] { $"arn:aws:s3:::{_bucketName}/{prefix}*" }
    var stsClient = new AmazonSecurityTokenServiceClient();
    var request = new GetFederationTokenRequest
        Name = $"user-{userId}-temp",
        Policy = JsonSerializer.Serialize(policyDocument),
        DurationSeconds = 3600 // 凭证有效期1小时，可调整
    var response = await stsClient.GetFederationTokenAsync(request);
    return Ok(new
        AccessKeyId = response.Credentials.AccessKeyId,
        SecretAccessKey = response.Credentials.SecretAccessKey,
        SessionToken = response.Credentials.SessionToken,
        Expiration = response.Credentials.Expiration,