S3 AWS 预签名 URL内容长度的安全问题

问题描述

我想提供一种使用 AWS 预签名 URL 将文件上传到 S3 并限制文件大小的方法。根据这篇文章https://zaccharles.medium.com/s3-uploads-proxies-vs-presigned-urls-vs-presigned-posts-9661e2b37932，可以生成预签名的帖子 URL 并配置内容长度范围以限制上传文件大小。看起来很有希望，但我有一些安全问题：

1. 我们真的可以相信内容长度吗？
2. 我知道内容长度是一个禁止的标头 (https://developer.mozilla.org/en-US/docs/Glossary/Forbidden_header_name) 但是是什么阻止了黑客使用一个巨大的文件调用我的 s3 存储桶（使用预签名 URL 返回的策略）并覆盖content-length 标头的值很小？例如，使用 Postman 很容易覆盖这个值

谢谢，

解决方法

暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！

如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。

小编邮箱:dio#foxmail.com (将#修改为@）