S3预签名URL提前过期排查：设7天却不足1天失效

核心原因 #

• 临时凭证有效期限制：如果生成预签名URL时使用的是临时凭证（比如IAM角色、STS令牌），这类凭证的默认有效期通常不超过24小时（最长仅12小时）。预签名URL的有效时长不能超过所依赖凭证的剩余有效期，哪怕你设置了7天的ExpiresIn，实际有效期会被临时凭证的过期时间截断。
• 客户端凭证配置错误：误将短期临时凭证传入boto3客户端，而非使用长期IAM用户的Access Key/Secret Key。

解决方法 #

1. 使用长期IAM用户凭证（推荐） #

创建拥有目标S3对象读写权限的IAM用户，生成其长期Access Key和Secret Key，用该凭证初始化boto3客户端，此时预签名URL可设置到S3允许的最大有效期（7天）。

示例代码：

import boto3

# 用长期凭证初始化S3客户端
s3_client = boto3.client(
    's3',
    aws_access_key_id='你的长期Access Key',
    aws_secret_access_key='你的长期Secret Key'
)

# 生成7天有效期的预签名URL
presigned_url = s3_client.generate_presigned_url(
    client_method='get_object',
    Params={'Bucket': '你的存储桶名称', 'Key': '你的对象键'},
    ExpiresIn=7 * 24 * 3600  # 换算为秒
)

2. 临时凭证场景的限制与验证 #

如果必须使用临时凭证：

• 先确认临时凭证的实际有效期：通过STS客户端查看凭证的过期时间：

  sts_client = boto3.client('sts')
  response = sts_client.get_caller_identity()
  # 若使用角色凭证，可通过客户端的get_session_token()或get_caller_identity()获取Expiration字段
  

• 临时凭证最长有效期为12小时，因此预签名URL无法达到7天有效期，这种场景下建议切换到长期凭证。

3. 验证预签名URL的有效时长 #

生成URL后，可解析URL中的X-Amz-Expires参数确认设置的时长，同时对比生成时使用的凭证剩余有效期，确保前者不超过后者。

内容的提问来源于stack exchange，提问作者ninsonTan