一个视频平台正在将 MP4 视频迁移到 Amazon S3，并通过 CloudFront 和 EC2 提供服务。用户访问前端，前端会重定向到包含由 CloudFront 验证的授权令牌的视频 URL。CloudFront 分配已缓存。团队必须将授权令牌检查记录到 CloudWatch，阻止从 CloudFront 和 S3 直接访问视频文件，并实现前端提供的令牌签名检查。他们还希望以最小的操作开销对令牌检查代码执行滚动更新。哪种解决方案最能满足这些要求？

正确答案是使用 CloudFront Functions。CloudFront Functions 在 CloudFront 边缘位置执行，提供极低的延迟和高扩展性，非常适合令牌验证。它们支持 CloudWatch 日志记录，满足日志记录要求。CloudFront 持续部署允许对函数进行滚动更新，最大限度地减少操作开销。直接在 CloudFront 边缘执行令牌检查可以有效阻止对 S3 的直接访问，因为请求在到达源站之前就被处理了。 Lambda@Edge 也可以实现此功能，但 CloudFront Functions 更轻量级，执行速度更快，成本更低，更适合简单的请求/响应修改和授权检查。在 EC2 实例上进行检查会增加延迟和复杂性，并且无法阻止对 CloudFront 的直接访问。部署第二个 CloudFront 分配进行滚动更新会增加不必要的复杂性和成本，而 CloudFront 持续部署是专门为此目的设计的。