Безопасная выдача файлов из закрытого S3-хранилища

Как отдавать файлы из закрытого S3, не открывая само хранилище 

S3 Proxy for Flamy стоит между BookStack и внутренним хранилищем и наружу пропускает только разрешённые запросы на чтение. Путь проверяется до обращения к S3, поэтому через публичный адрес нельзя загрузить, изменить или удалить объект и нельзя добраться до внутренних каталогов. Пользователь получает нужное изображение или вложение, но адрес и структура самого хранилища остаются закрытыми. Большие файлы передаются частями прямо из S3 и не занимают всю память приложения. Повторные запросы обслуживаются через кэш, поэтому популярные материалы загружаются быстрее и меньше нагружают хранилище. Отдельные проверки показывают, работает ли само приложение и есть ли связь с S3, а журнал помогает понять, на каком участке возникла ошибка — в прокси, сети или хранилище.