使用AWS Amplify+NextJS上传千余文件到S3超15分钟返回403错误如何解决

根因定位 #

你遇到的15分钟阈值报错是AWS STS临时凭证的默认有效期限制导致的：Amplify 为前端默认签发的STS临时上传凭证有效期就是900秒（15分钟），当总上传时长超过这个阈值后，未完成的上传请求携带的过期凭证会被S3判定为非法，直接返回403错误。不管用Storage.put还是原生S3.upload接口，只要复用了同一批过期凭证，表现都会完全一致。

排查步骤 #

• 验证凭证有效期：在上传逻辑中插入代码打印Auth.currentCredentials()返回值中的expiration字段，对比报错时间和凭证过期时间是否完全匹配，确认是否为凭证过期问题。
• 排查权限策略：检查对应IAM角色（认证用户对应authRole、未认证用户对应unauthRole）的S3访问策略、桶策略，确认没有附加时间维度的权限限制规则，排除策略本身拦截的可能。
• 排查上传并发配置：确认forEach循环是否未做并发控制，同时发起上千个上传请求导致带宽占满，后续排队的请求直到凭证过期才实际发起，触发403报错。

解决方案 #

• 方案1：延长临时凭证有效期
  到AWS IAM控制台修改Amplify自动生成的authRole/unauthRole的最大会话时长，最高可设置为12小时；同时在Amplify Auth初始化配置中调整凭证刷新阈值，确保凭证过期前自动刷新，避免前端持有过期凭证发起请求。
• 方案2：优化前端上传逻辑
  • 控制上传并发数：不要用无限制的forEach直接发起所有请求，用并发控制工具将同时上传的任务数限制在3~5个，避免带宽拥堵导致整体上传时长被拉长。
  • 开启分片上传：调用Storage.put或S3.upload时开启分片配置，针对500MB以上大文件设置10MB左右的分片大小，既可以提升上传成功率，也支持断点续传，避免网络波动导致的重传耗时。
  • 上传前主动检查凭证有效期：每次发起上传任务前先判断当前凭证剩余有效期，不足5分钟时先调用Auth.currentSession()触发凭证刷新，再用新凭证发起上传。
• 方案3：预签名URL上传（适用于超长时间上传场景）
  如果单批次上传总时长可能超过12小时，放弃前端直接用STS凭证上传的方案，改为前端每次上传前请求后端接口，后端用有权限的IAM账号生成对应S3对象的预签名URL返回给前端，前端用预签名URL完成上传，预签名URL最长可设置7天有效期，完全覆盖超长上传需求。

内容的提问来源于stack exchange，提问作者kingemerald