AWS预签名URL过期异常：设90小时却20小时失效求助

针对你遇到的预签名URL设置90小时有效期但20小时后失效的问题，从几个核心方向排查：

1. 生成URL所用的凭证是否过期 #

你的代码里硬编码了aws_access_key_id和aws_secret_access_key，如果这是临时凭证（比如从STS、IAM角色获取的短期密钥），AWS临时凭证的最长有效期默认是12小时（部分场景可延长到36小时，但远不足90小时）。当凭证本身过期后，即使预签名URL的ExpiresIn设置更长，也会直接失效。

排查：

• 确认密钥类型：如果是长期IAM用户密钥，有效期不会自动过期；如果是临时凭证，更换为长期密钥或调整凭证有效期（若业务允许）。
• 不要硬编码密钥，建议通过环境变量、AWS凭证文件或IAM角色（ECS/EKS/EC2实例角色）自动获取凭证，避免密钥泄露和过期问题。

2. S3桶或对象的权限策略被修改 #

生成预签名URL后，若桶的Bucket Policy、对象的ACL，或者IAM用户/角色的权限被调整，导致原凭证不再拥有GetObject权限，URL会直接失效。

排查：

• 检查生成URL的凭证对应的IAM实体（用户/角色）是否仍拥有s3:GetObject权限，且目标桶和对象的策略没有拒绝该操作。
• 确认对象的ACL没有被修改为私有且拒绝对应凭证访问。

3. 目标S3对象被删除/重命名 #

如果预签名URL指向的对象在20小时内被删除、重命名，或者存储类别被修改（比如归档到Glacier），URL自然无法访问。

排查：

• 登录AWS控制台，检查目标桶内的对应对象是否存在，状态是否正常（未被归档/删除）。

4. 生成URL的服务器时间偏差过大 #

AWS对预签名URL的时间校验有严格要求，若生成URL的服务器本地时间与AWS服务器时间偏差超过15分钟，会导致URL提前失效或无法使用。

排查：

• 检查生成URL的服务器是否开启NTP时间同步，确保本地时间与UTC时间偏差在允许范围内。

代码优化建议 #

硬编码密钥是严重的安全风险，建议修改代码使用自动凭证获取方式：

def get_presigned_url(s3_bucket, s3_object_key, expiration_seconds):
    # boto3会自动从环境变量、凭证文件或IAM角色获取凭证，无需硬编码
    s3_client = boto3.client('s3', config=Config(signature_version='s3v4'))
    url = s3_client.generate_presigned_url(
        ClientMethod='get_object',
        Params={'Bucket': s3_bucket, 'Key': s3_object_key},
        ExpiresIn=expiration_seconds
    )
    return url

内容的提问来源于stack exchange，提问作者CrashingTurttles