AWS S3长有效期预签名URL的C#实现：能否设置100年有效期？

你提供的代码不可行，AWS S3对常规IAM凭证生成的预签名URL有严格的有效期上限：最长只能设置7天（604800秒）。如果Expires参数超过这个值，调用GetPreSignedURL会直接抛出异常。

实现长有效期受控访问的替代方案 #

如果需要长达100年的有效访问链接，推荐使用CloudFront签名URL/签名Cookie方案，这也是AWS官方推荐的长有效期受控访问方式，具体实现如下：

1. 前置准备

• 创建CloudFront分配，将源指向目标S3存储桶，同时配置Origin Access Identity (OAI)，确保S3桶仅接受CloudFront的请求，禁止直接访问
• 在CloudFront分配的缓存行为中，启用“限制访问（使用签名URL或签名Cookie）”选项

2. C#生成CloudFront签名URL示例

需要使用CloudFront的密钥对（仅AWS根用户可以创建）来生成签名：

using System;
using System.Security.Cryptography;
using System.Text;
using System.Web;

public string GenerateCloudFrontSignedUrl(string cloudFrontDomain, string s3ObjectKey, DateTime expiryDate)
{
    // 替换为你的CloudFront密钥对ID和PEM格式私钥内容
    string cloudFrontKeyPairId = "YOUR_KEY_PAIR_ID";
    string privateKeyPem = "-----BEGIN RSA PRIVATE KEY-----\nYOUR_PRIVATE_KEY_CONTENT\n-----END RSA PRIVATE KEY-----";

    // 构造资源URL
    string resourceUrl = $"https://{cloudFrontDomain}/{HttpUtility.UrlEncode(s3ObjectKey).Replace("+", "%20")}";
    long expiryUnixTimestamp = ((DateTimeOffset)expiryDate).ToUnixTimeSeconds();

    // 构造签名策略
    string policyJson = $"{{\"Statement\":[{{\"Resource\":\"{resourceUrl}\",\"Condition\":{{\"DateLessThan\":{{\"AWS:EpochTime\":{expiryUnixTimestamp}}}}}}]}}";

    // 加载私钥并签名
    using var rsa = RSA.Create();
    rsa.ImportFromPem(privateKeyPem.AsSpan());
    byte[] policyBytes = Encoding.UTF8.GetBytes(policyJson);
    byte[] signatureBytes = rsa.SignData(policyBytes, HashAlgorithmName.SHA1, RSASignaturePadding.Pkcs1);
    string urlSafeSignature = HttpUtility.UrlEncode(Convert.ToBase64String(signatureBytes));

    // 拼接最终URL
    return $"{resourceUrl}?Expires={expiryUnixTimestamp}&Signature={urlSafeSignature}&Key-Pair-Id={cloudFrontKeyPairId}";
}

关键说明

• CloudFront签名URL没有7天有效期限制，可设置任意远期过期时间（比如100年）
• 必须使用CloudFront专属密钥对生成签名，不能用普通IAM凭证
• OAI配置能确保S3桶的安全性，避免对象被直接公开访问

内容的提问来源于stack exchange，提问作者user3083835