S3预签名URL过期异常：设置5年有效期却仅3-4天失效

问题原因 #

• S3预签名URL的硬性限制：AWS规定，无论使用哪种凭证，预签名URL的最长有效期仅为7天（604800秒）。你代码中设置的5年有效期会被AWS自动忽略，实际有效期被截断为7天。
• 临时凭证的有效期限制：Lambda默认使用的执行角色是临时IAM凭证，默认有效期1小时（最多可延长至12小时）。用这种临时凭证生成的预签名URL，实际有效期无法超过临时凭证本身的有效期，这就是你遇到3-4天失效的核心原因（可能你的Lambda角色凭证被配置了较短的有效期）。

解决方案 #

方案一：使用长期IAM用户凭证生成7天有效期的URL #

这是能达到预签名URL最长有效期的方案：

1. 创建一个IAM用户，仅授予其目标S3桶的GetObject权限，最小化权限范围。
2. 为该用户生成Access Key ID和Secret Access Key，通过Lambda环境变量传递（禁止硬编码）。
3. 修改代码，用长期密钥初始化S3客户端：

import boto3
import os

# 从环境变量读取配置
AWS_ACCESS_KEY_ID = os.environ.get('AWS_ACCESS_KEY_ID')
AWS_SECRET_ACCESS_KEY = os.environ.get('AWS_SECRET_ACCESS_KEY')
BUCKET_NAME = os.environ.get('BUCKET_NAME')

def get_s3_client():
    return boto3.client(
        's3',
        aws_access_key_id=AWS_ACCESS_KEY_ID,
        aws_secret_access_key=AWS_SECRET_ACCESS_KEY
    )

def get_presigned_get_url(object_name, expiration=604800):  # 明确设置最大7天有效期
    try:
        pre_signed_url = get_s3_client().generate_presigned_url(
            'get_object',
            Params={'Bucket': BUCKET_NAME, 'Key': object_name},
            ExpiresIn=expiration
        )
    except Exception as e:
        print(e)
        return None
    return pre_signed_url

方案二：实现超过7天的长期访问 #

如果业务需要超过7天的访问权限，预签名URL无法满足，可选择以下方式：

• 公开S3对象：若对象允许公开访问，直接设置桶策略或对象ACL为公开读取（谨慎使用，避免数据泄露）。
• CloudFront签名URL/Cookie：CloudFront的签名URL最长可设置1年有效期，需配合自定义密钥组实现。
• IAM身份授权：通过Cognito身份池或其他IAM方式，让访问用户获取临时凭证自行访问S3对象，无需预签名URL。

内容的提问来源于stack exchange，提问作者tousif Noor