CloudFront + Lambda@Edge + Cognito 实现 S3 私有桶零信任访问控制（完整实战）
为 S3 私有桶部署的静态站（文档站/管理后台/内部工具）添加身份认证，无需后端服务器，纯 Serverless 架构。用户必须登录才能访问，未认证请求自动跳转登录页。
前言
场景痛点
内部文档站/知识库通常部署在 S3 + CloudFront，但 S3 静态托管没有原生认证能力。常见需求：
- 公司文档站只允许员工访问
- 技术文档需要登录后才能查看
- 不想搭建后端服务器，保持纯静态架构
方案对比
| 方案 | 架构 | 优势 | 劣势 | 适用场景 |
|---|---|---|---|---|
| Lambda@Edge + Cognito | CloudFront → Lambda@Edge → S3 | 完整 OAuth2、体验好、安全 | 需 us-east-1 部署 | ⭐ 生产推荐 |
| CloudFront Function + Basic Auth | CloudFront → CF Function → S3 |