如何让AWS S3预签名URL仅可访问一次或手动禁用？

我在AWS S3存储桶中存储了图片文件，希望在应用中下载这些文件，因此生成了预签名URL，通过该URL可下载这些图片。我使用的TypeScript代码如下：

const url = await getSignedUrl(s3, command, { expiresIn });

现在我希望该URL仅能被访问一次，一旦被访问，后续再次访问时会失效。请问是否有实现方法？或者能否提供手动禁用该URL的方案？

AWS S3的预签名URL本身不支持原生的单次访问失效机制——它的有效性只和签名生成时的IAM权限、expiresIn设定的过期时间绑定，只要在有效期内，拿到URL的人就能重复访问。不过可以通过以下两种方案实现类似需求：

方案一：后端校验+状态标记（推荐） #

• 给每个预签名URL生成唯一标识（比如UUID），将标识、关联的文件路径、用户信息、过期时间一起存入你的业务数据库
• 让用户通过你的后端服务跳转至预签名URL：用户请求下载时，后端先校验数据库中该标识是否未被使用、是否在有效期内、是否属于当前请求用户
• 校验通过后，返回预签名URL让用户下载，同时将数据库中的标识标记为「已使用」；校验不通过则直接返回403禁止访问
• 额外优化：开启S3访问日志，异步监听日志中该预签名URL的访问记录，一旦发现访问，立即更新数据库标记，避免用户绕过后端直接访问

方案二：手动禁用预签名URL #

预签名URL的有效性依赖生成它的IAM身份权限，以及目标S3对象的访问权限，你可以通过以下方式手动失效URL：

• 修改对象权限：直接给目标S3对象设置私有权限，或者通过Bucket Policy添加拒绝生成该URL的IAM身份访问此对象的规则，这样该URL会立即失效
• 撤销IAM凭证：删除生成URL所用的IAM用户/角色，或者旋转该身份的访问密钥——这会导致所有用该凭证生成的预签名URL全部失效，注意这是批量操作，不是针对单个URL

补充说明 #

如果你的场景对单次访问要求极高，且流量较大，可以考虑用CloudFront Signed URLs + Lambda@Edge：在用户第一次访问时，Lambda@Edge验证并标记URL已使用，后续访问直接返回拒绝。但这个方案复杂度较高，适合有一定运维能力的场景。另外无论用哪种方案，都要合理设置expiresIn，避免长期有效的URL带来安全风险。

内容的提问来源于stack exchange，提问作者Enthusiast Coder