はじめに

エンジニア未経験で入社し、初めてAWSに触れる中で、画像をAmazon S3にアップロードする方法が複数あることを知りました。

その中でも、署名付きPUT URLと署名付きPOSTという2つの方法があり、何を基準に使い分ければ良いのか迷ったため、今回はAWS公式ドキュメントをもとに、それぞれの違いやメリット・デメリットを整理してみました。

1. S3への直接アップロードの仕組み

S3への画像アップロードには、バックエンドを経由して画像を保存する方法と、ブラウザからS3へ直接アップロードする方法があります。

今回取り上げる署名付きPUT URLと署名付きPOSTは、どちらも後者の方法です。

この構成では、バックエンドはアップロード用の署名情報を発行し、画像本体はブラウザからS3へ直接送信します。そのため、バックエンドで画像を受け取ってS3へ転送する処理が不要になります。

また、ブラウザにAWSのシークレットアクセスキーを渡す必要もありません。ただし、署名発行APIでは、誰にどのオブジェクトへのアップロードを許可するかを適切に判断する必要があります。

署名付きPUT URLでは、バックエンドが発行したURLに対してHTTPのPUTリクエストを送り、ファイルをリクエストボディに指定します。

フォームフィールドを組み立てる必要がなく、ブラウザ側の実装が比較的シンプルです。Content-Typeなどを署名対象ヘッダーに含めた場合は、署名時と異なる値で送信すると署名の検証に失敗します。

ファイルサイズについては、署名付きPOSTとは異なり、POSTポリシーによる範囲指定はできません。

署名付きPOSTでは、バックエンドから送信先URLとフォームフィールドを受け取り、multipart/form-data形式でファイルをアップロードします。

PUTとの大きな違いは、POSTポリシーでアップロード条件を指定できることです。
例えば、次のような条件を設定できます。

サイズ範囲を指定するcontent-length-rangeは、次のように記述します。

["content-length-range", 1, 10485760]

この例では、アップロードするコンテンツのサイズを1バイトから10MiB（10 × 1,024 × 1,024バイト）までに指定しています。（範囲外のアップロードはS3側で拒否されます）

一方で、PUTと比べると、フォームフィールドやポリシーなど、扱う項目は多くなります。

それぞれの違いを表にまとめると、次のようになります。

例えば、次のような要件のWebアプリを想定します。

PUTでも画像のアップロードは可能ですが、ブラウザ側でファイルサイズを確認するだけでは、リクエストを改変された場合まで防げません。

S3側でもサイズ範囲を検証し、条件に合わないアップロードを拒否したい場合は、署名付きPOSTが候補にあがります。

署名付きURLは、URLを知っている人が有効期限内に利用できます。署名付きPOSTも、発行したURLやフォームフィールドを第三者に利用されないように扱う必要があります。

そのため、署名発行APIでは認証・認可を行い、有効期限を必要以上に長く設定しないよう気をつけましょう。

また、署名付きPUT URLは1回限りの使い捨てではありません。有効期限内に繰り返し利用でき、同じキーのオブジェクトが存在すると上書きされる可能性があります。
意図しない上書きを避けるため、PUT・POSTのどちらでも保存先のキーを適切に管理することが重要です。

ブラウザのJavaScriptから別オリジンのS3へアップロードする場合は、S3バケットでCORSを設定する必要があります。

許可するオリジン、HTTPメソッド（PUTやPOST）、リクエストヘッダーなどを設定しますが、これはブラウザのクロスオリジンアクセスを制御するためのもので、S3へのアクセス権限とは別の仕組みです。

AWS公式：CORS設定のエレメント

今回は、S3への直接アップロードにおける署名付きPUT URLと署名付きPOSTの違いを整理しました。

今回調べてみて、単にアップロードできるかどうかだけでなく、どの条件を、どの段階でチェックするかが使い分けのポイントの一つだと理解できました！