ارفع الملفات مباشرة إلى S3 بروابط موقّعة: خادمك يوقّع فقط

1. اضبط CORS على الـ bucket. من غير ده، المتصفح هيرفض الـ PUT المباشر لأنه من دومين تاني. حط الإعداد ده في تبويب Permissions > CORS في الـ bucket. النتيجة: المتصفح مسموح له يعمل PUT من موقعك.

1. ارفع من المتصفح على مرحلتين. الأول اطلب الرابط من خادمك، بعدين اعمل PUT للملف مباشرة على S3. لاحظ إن الـ Content-Type لازم يطابق اللي وقّعت بيه بالظبط.

1. سجّل الـ key بعد نجاح الرفع. بعد ما الـ PUT يرجّع 200، ابعت الـ key لخادمك ليحفظه في قاعدة البيانات ويربطه بالمستخدم. النتيجة: عندك مرجع للملف من غير ما بايت واحد منه عدّى على خادمك.

التحقق من إنه شغّال

ارفع ملف من الواجهة، وافتح تبويب Network في المتصفح. المفروض تشوف طلبين: طلب صغير لـ /uploads/sign (حجم الرد ~1 كيلوبايت)، وطلب PUT كبير رايح على دومين s3.amazonaws.com مباشرة. لو الملف ظهر في الـ bucket والـ PUT رجّع 200، يبقى تمام. لو رجّع 403 SignatureDoesNotMatch، غالبًا الـ Content-Type في الـ PUT مختلف عن اللي وقّعت بيه.

الأرقام: قبل وبعد

قياس تقريبي على ملف 240 ميجابايت وخادم متوسط:

• عبر الخادم: ذاكرة محجوزة ~240 ميجابايت لكل رفع متزامن، والاتصال بيقع عند 30 ثانية على البروكسي، والباندويدث بيتحاسب مرتين (دخول للخادم + خروج لـ S3).
• بالرابط الموقّع: خادمك بيعمل شغل بحجم ~1 كيلوبايت في ~3 مللي ثانية (توليد التوقيع)، الذاكرة المحجوزة للرفع ~صفر، والباندويدث بيتحاسب مرة واحدة على S3 بس.

الافتراض هنا إنك على AWS S3 حقيقي (مش نظام تخزين تاني)، وإن الملفات أقل من 5 جيجابايت (حد الـ PUT الواحد في S3).

الـ trade-offs

بتكسب: خادمك يتفضّى تمامًا من حمل الرفع، ويوسّع مستقل عن حجم الملفات. بتخسر: مبقاش تقدر تفحص أو تعدّل الملف وهو داخل (ضغط صورة، فحص فيروسات) لأنه بيروح S3 مباشرة. الحل إنك تعمل الفحص بعد الرفع عن طريق S3 Event يشغّل Lambda.

نقطة أمان: الرابط الموقّع بيدّي صلاحية كتابة على الـ key ده طول مدة الصلاحية. لو اتسرّب في الـ 5 دقايق دول، حد يقدر يكتب فوق نفس الملف. خفّف الخطر بمدة قصيرة + مفتاح فريد (UUID) + تثبيت ContentType. لو محتاج تفرض حجم أقصى للرفع، استخدم generate_presigned_post بدل put_object، لأنه بيدعم شرط content-length-range.

متى لا تستخدم هذه الطريقة

• ملفات أكبر من 5 جيجابايت — محتاج multipart upload برابط موقّع لكل جزء.
• محتاج تتحقق من محتوى الملف أو تحوّله قبل ما يتخزّن أصلاً — هنا الرفع المباشر ميناسبكش.
• ملفات صغيرة جدًا (بضعة كيلوبايت) وكتير — الطلب الإضافي لجلب الرابط بيزوّد latency من غير مكسب حقيقي.
• تخزينك مش S3 ولا متوافق معاه (بعض الأنظمة مش بتدعم presign).

الخطوة التالية

افتح أقرب endpoint رفع عندك، وشوف هل الملف بيعدّي على خادمك ولا لأ. لو آه، انقل الرفع لرابط موقّع بنفس الـ 6 خطوات دي، وابدأ بمسار واحد (رفع الصور مثلاً). قِس ذاكرة الخادم قبل وبعد؛ لو نزلت فعلاً، عمّم الطريقة على باقي المسارات.

المصادر

• AWS — Sharing objects with presigned URLs: docs.aws.amazon.com/AmazonS3/latest/userguide/ShareObjectPreSignedURL.html
• Boto3 — generate_presigned_url: boto3.amazonaws.com/.../generate_presigned_url.html
• Boto3 — generate_presigned_post (لفرض شروط الحجم): boto3.amazonaws.com/.../generate_presigned_post.html
• AWS — CORS configuration on S3: docs.aws.amazon.com/AmazonS3/latest/userguide/ManageCorsUsing.html
• AWS — Signature Version 4: docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html