S3预签名URL修改客户端时间后失效原因咨询

你遇到的问题本质是AWS S3的请求时间偏差限制，和预签名URL的24小时有效期是两回事：

• S3为了防止重放攻击，强制要求请求签名中的X-Amz-Date参数与S3服务器的当前时间偏差不能超过15分钟。一旦超过这个范围，S3会直接拒绝请求，返回错误响应，而不是你要的PDF文件。客户端把错误响应当成PDF解析，就会出现“pdf is corrupted”的提示。
• 你用设备本地时间生成X-Amz-Date，当用户修改设备时间导致这个时间和S3服务器时间差超过15分钟时，就触发了这个限制。文档里说的“URL从创建时起24小时有效”，是指在签名时间的基础上，URL的有效窗口是24小时，但这个窗口生效的前提是请求发生时，S3服务器时间和X-Amz-Date的偏差在允许范围内。

• 最优方案：后端生成预签名URL：把生成URL的逻辑移到后端服务（比如AWS Lambda、你的自有服务器），后端用自身的标准时间生成X-Amz-Date，再返回给客户端。这样既避免了设备时间的影响，也能减少客户端暴露AWS凭证的安全风险。
• 客户端生成的替代方案：如果必须在客户端生成，先调用AWS的公共接口获取服务器时间（比如S3的HeadBucket接口，无需特殊权限，从响应头的Date字段提取），用这个时间作为X-Amz-Date的来源，不要用设备本地时间。
• 检查你的代码，确保生成预签名URL时，使用的是可靠的时间源，而非依赖设备本地的new Date()。

内容的提问来源于stack exchange，提问作者Suraj Pawar