如何创建仅可使用一次的S3预签名URL？

S3原生预签名URL本身不支持单次使用限制，必须结合额外的AWS服务或自定义逻辑来实现，以下是几种可行的方案：

• 基于对象版本控制+Lambda的即时失效

  1. 给目标S3 Bucket启用版本控制，生成预签名URL时指定特定的对象版本ID。
  2. 创建Lambda函数，配置S3的GetObject事件触发。当有请求通过预签名URL成功获取对象后，Lambda立即删除该版本的对象，或者通过Bucket策略添加规则拒绝后续对该版本的访问。
  3. 第一次访问后，该版本的对象就无法再被访问，从而实现预签名URL的单次使用。

• CloudTrail日志监控+主动拦截

  1. 开启目标Bucket的CloudTrail日志记录，确保捕获所有GetObject操作请求。
  2. 编写Lambda函数订阅CloudTrail的日志流，当检测到目标预签名URL对应的GetObject操作完成后，立即通过IAM策略或Bucket策略添加限制规则，拒绝后续使用该预签名URL的请求（可通过识别请求中的签名参数，或生成预签名时附加自定义唯一标识作为请求头来匹配）。

• 自定义令牌验证层（API Gateway + Lambda + DynamoDB）

  1. 不直接向用户暴露S3预签名URL，而是通过API Gateway提供一个获取令牌的接口：用户请求该接口时，生成唯一UUID作为一次性令牌，将令牌、对应S3对象路径、状态（未使用）存储到DynamoDB。
  2. 用户拿着令牌调用另一个API Gateway接口，Lambda先查询DynamoDB验证令牌状态：如果未使用，就生成临时S3预签名URL返回给用户，同时将令牌标记为已使用；如果已使用，则直接返回拒绝响应。
  3. 这种方案完全由自定义逻辑控制，灵活性更高，还可额外添加身份验证、过期时间等规则。

注意事项 #

• 无论用哪种方案，都要确保Bucket的访问策略配置正确，避免用户绕开验证逻辑直接访问对象。
• 如果对延迟敏感，优先选择第一种基于版本控制的方案，响应速度更快。

内容的提问来源于stack exchange，提问作者VincenzoRotondi