pre-signed-url · L2

一條 URL 可重複用

一條 URL 期限內可重複用（不是一次性）

一句話：pre-signed URL 不是一次性的——在到期前，同一條 URL 可以被點很多次，每次都成立。

它的有效性只看三件事

一條 pre-signed URL 成不成立，只取決於（回想 Level 1 的兩層檢查）：

• 簽章對不對；
• 過期了沒（X-Amz-Date + X-Amz-Expires）；
• 簽的憑證此刻是否仍有效、仍有權限。

這三件事跟「用過幾次」完全無關。所以：一條下載 URL 在 15 分鐘內可以被下載 100 次；一條 PUT URL 在期限內可以被 PUT 好幾次（每次覆蓋前一次）。

比喻：它像一張有到期日的月票，不是「刷一次就作廢的單程票」——到期前你愛刷幾次就幾次。

推論：不能靠「一次性」來控管

如果你的需求是「這條連結只能用一次」，pre-signed URL 本身做不到。想達到類似效果，得靠外層機制：

• 把期限縮到極短（例如幾十秒），縮小被重複利用的窗口；
• 上傳/操作成功後，後端立刻讓它失效（例如改物件權限、移動物件、或撤銷/輪替那組憑證）；
• 需要嚴格「單次、限條件」時改用 POST policy（Level 6）。

這是它作為 bearer token 的必然——票不記名、也不「打洞」，期限內就一直有效。設計時務必把這點算進去。

參考來源

• AWS S3 — Using presigned URLs（期限內可重複使用、憑證失效即失效）