发布具有1个权限的帐户的Amazon AWS凭据

Question

我想要在静态网站上存在一段代码，但我希望它能够在Amazon AWS S3存储桶中提取最新版本的文件以显示下载链接。我不要求用户以任何方式对我的网站进行身份验证。

我正在使用的API（aws-sdk用于javascript）需要凭据来执行任何操作，即使在公共存储桶上也是如此。我列出文件的计划是创建一个IAM用户，该用户只能通过以下策略访问此存储桶中的子文件夹以执行我需要的操作：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListingOfDLFolder",
            "Action": "s3:ListBucket",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::cobstatic.com"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "dl/*"
                    ]
                }
            }
        }
    ]
}

这样安全吗？有更好的解决方案吗？