使用 S3 预签名 URL 的客户端加密

Question

我们有以下设置：浏览器 UI -> 我们的后端 -> S3。

我们希望对存储在 Amazon S3 中的文件进行客户端加密（不使用 Amazon KMS）。加密将由我们的后端完成，加密后的文件将存储在 S3 中。

对于较大的文件，我们还希望使用预先签名的 URL 将文件直接流式传输到浏览器。

我们使用 Content-Disposition 作为附件让浏览器直接下载文件。

我认为我们的方案不会奏效，因为客户端将无法解密加密文件。